Drupal, Commerce Core'deki kritik güvenlik açığını duyurdu

Drupal, Commerce Core modülünde bulunan kritik bir erişim atlatma açığı nedeniyle yöneticileri acil olarak güncelleme yapmaları konusunda uyardı. CVE-2026-118539 olarak takip edilen bu açık, yetkilendirme eksikliğinden kaynaklanıyor ve kimlik doğrulaması yapılmamış saldırganlar tarafından istismar edilebiliyor. Açık, Commerce Core'un 0.0.0'dan 2.41'e ve 3.0.0'dan 3.3.13'e kadar olan sürümlerini etkiliyor.

Kritik Güncelleme Gereksinimi

Drupal güvenlik ekibi, 3.x sürümündeki yöneticilerin derhal Commerce Core 3.3.13'e (veya önceki sürümler için Commerce Core 8.x-2.41'e) güncelleme yapmalarını ve siparişleri tutarsızlıklar açısından denetlemelerini istedi. Saldırganların bu açığı kullanarak saldırılar gerçekleştirdiği bildirildi.

Açıkla ilgili olarak Drupal, "Bu modül, bir alışveriş sepeti ve ödeme formu aracılığıyla veya API'ler üzerinden ayrıştırılmış uygulamalarla müşterilere mal ve hizmet satışı yapmanıza olanak tanır," ifadelerini kullandı. Ayrıca, modülün bazı yolları ve varlık alanlarını yeterince koruyamadığı ve bu durumun satıcıyı finansal olarak etkileyebileceği belirtildi.

Geniş Kullanım Alanı

Commerce Core, 42,000'den fazla web sitesi tarafından kullanılan, topluluk tarafından geliştirilen bir Drupal modülüdür. Fortune 500 şirketleri ve araştırma üniversiteleri gibi birçok tanınmış kuruluş bu modülü kullanmaktadır. E-ticaret siteleri ve alışveriş uygulamaları oluşturmak için bir yazılım çerçevesi sunmaktadır.

Mayıs ayında, Drupal, veritabanı soyutlama API'sinde bulunan bir SQL enjeksiyon açığının (CVE-2026-9082) saldırganlar tarafından istismar edildiğini ve bunun ayrıcalık yükselmesine, bilgi ifşasına ve uzaktan kod çalıştırmaya yol açabileceğini de duyurmuştu. Bu durum, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından bilinen istismar edilen açıklar kataloğuna eklenmiş ve federal ajansların sistemlerini üç gün içinde güncellemeleri emredilmiştir.

Önceki Güvenlik Açıkları

İki hafta önce, Drupal, uzaktan kod çalıştırma ile ilgili iki güvenlik sorununu (CVE-2026-108097 ve CVE-2026-108099) düzeltmiş ve yöneticileri mümkün olan en kısa sürede güncellemeleri uygulamaya çağırmıştı. Saldırganların bu açıkları "saatler veya günler içinde" istismar edebileceği konusunda uyarıda bulunmuşlardı.

Son yıllarda, CISA, sahada istismar edilen 5 Drupal açığını tespit etti ve bunlardan ikisinin fidye yazılımları tarafından da kullanıldığını belirtti. Saldırganlar geçerli kimlik bilgilerine sahip olduklarında, yaptıkları işlemlerin yalnızca %37'sinin engellendiği ortaya çıkmıştır.

Sonuç

Drupal tarafından bildirilen bu kritik güvenlik açığı, e-ticaret siteleri için büyük bir tehdit oluşturuyor. Kullanıcıların ve yöneticilerin bu tür güvenlik açıklarına karşı dikkatli olmaları ve güncellemeleri zamanında yapmaları büyük önem taşıyor.