Drupal Commerce Core açığı CVE-2026-118539 aktif olarak exploit ediliyor
Drupal, Commerce Core açığı CVE-2026-118539 için aktif exploit uyarısı yaptı. Yetki kontrolü eksik route'lar mağazaları mali riske açıyor.
Bu haberde
Drupal, Commerce Core açığı CVE-2026-118539’un saldırganlarca aktif olarak sömürüldüğünü duyurdu. Modül bazı route’ları ve entity alanlarını yeterince korumuyor; bu da erişim atlatmaya yol açıyor. Açığı Dan Puccetti, Marcus Johansson ve Robert Snyder bildirdi.
Commerce Core açığında ne oldu
Sorun yetki kontrolünün eksik olması. Modül bazı route’ları ve entity alanlarını kontrol etmeden açıyor. Saldırgan bu adreslere doğrudan istek gönderiyor ve erişmemesi gereken yerlere ulaşıyor. Bu tekniğin adı forceful browsing. Yani açık bir erişim atlatma; kaynak onu kod çalıştırmayla ilişkilendirmiyor. Danışma notu satıcının mali zarar görebileceğini belirtiyor. Mağaza sahibi için asıl risk de burada.
Kim etkileniyor
Kaynakta etkilenen aralık 0.0.0 ile 2.41 arası ve 3.0.0 ile 3.3.13 arası olarak geçiyor. Önerilen sürümler ise 3.x dalı için 3.3.13, eski dallar için 8.x-2.41. Önerilen sürümler etkilenen aralığın üst sınırıyla aynı. Hedef sürümü yükseltmeden önce Drupal’ın kendi danışma notundan doğrulayın.
Ne kadar ciddi
Drupal açığı “highly critical” olarak sınıflandırıyor. Commerce Core açığı şu anda sahada exploit ediliyor ve bunu projenin bakımcıları da doğruluyor. Kaynak CVSS puanı vermiyor. Exploit için kimlik doğrulama gerekip gerekmediği de kaynakta yazmıyor.
Commerce Core açığı için yapılacaklar
- Kurulu sürümü kontrol edin:
composer show drupal/commerce- Danışma notunda doğruladığınız yamalı sürüme geçin.
- Son siparişleri inceleyin. Beklenmeyen fiyat, durum ve ödeme değişikliklerini arayın.
- Web sunucusu loglarında oturum açmamış client’lardan Commerce route’larına gelen olağan dışı istekleri tarayın.
CVE kaydı: CVE-2026-118539
