Drupal Commerce Core'da Kritik Güvenlik Açığı Tespit Edildi

Drupal, Commerce Core bileşeninde bulunan ve "son derece kritik" olarak sınıflandırılan bir güvenlik açığının kötü niyetli kişiler tarafından istismar edildiğini bildirdi. CVE-2026-118539 kodu ile takip edilen bu açık, Commerce Core'un 0.0.0 ile 2.41 ve 3.0.0 ile 3.3.13 versiyonlarını etkilemekte.

Açığın Detayları

Drupal, bu modülün kullanıcıların ürün ve hizmet satışı yapmasına olanak tanıdığını belirtirken, belirli yolların ve varlık alanlarının yeterince korunmadığını ifade etti. Bu durum, satıcıların finansal olarak olumsuz etkilenmesine yol açabilecek bir erişim atlamasına neden oluyor.

Aktif İstismar Durumu

Drupal, söz konusu açığın "aktif olarak istismar edildiğini" kabul etmekle birlikte, bu istismarların doğası veya kampanyanın kapsamı hakkında detay vermedi. Kullanıcılara, en son sürüme güncellemeleri öneriliyor:

• Versiyon 3.x - Commerce Core 3.3.13'e yükseltin
• Eski versiyonlar - Commerce Core 8.x-2.41'e yükseltin

Araştırmacıların Katkısı

Drupal, bu açığı bildiren araştırmacılar Dan Puccetti, Marcus Johansson ve Robert Snyder'a teşekkür etti.

PHP Güvenlik Açıkları

Bu gelişme, PHP'de tespit edilen iki kritik güvenlik açığı ile de örtüşüyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen bu açıklar, PHP2Shell olarak adlandırılıyor ve aktif istismar girişimleri gözlemleniyor. Google'a ait Wiz'in verilerine göre, 25 Ekim itibarıyla PHP2Shell'den önemli ölçüde etkilenen organizasyonların oranı %52.1'e düşmüştür.

Wiz, şu ana kadar iki tür etkinlik gözlemledi:

• PHP2Shell istismar mekanizmasını kullanan girişimler
• Açıklarla ilgili olmayan, oturum zehirlemesi ve ayrı bir yerel dosya dahil etme açığına dayanan PHP2Shell markalı araçlar.

Araştırmacılar, sadece bellek tükenmesi tetiklemenin istismar zincirinin tamamlanması için yeterli olmadığını belirtti. PHP yapılandırmaları, bellek sınırları ve işçi davranışlarındaki farklılıklar, sonraki aşamaların çalışmasını engelleyebilir. Fırsatçı saldırganlar için mevcut kamuya açık PoC'leri güvenilir operasyonel araçlara dönüştürmek veya kendi başlarına geliştirmek zorlu bir görev olarak kalıyor.