Drupal Commerce Core’da istismar edilen access bypass açığı
Commerce Core açığı CVE-2026-118539 saldırılarda kullanılıyor. Drupal, authentication gerektirmeyen access bypass için güncelleme istiyor.
Drupal, saldırılarda aktif olarak kullanılan Commerce Core açığı için yöneticilerden acil güncelleme istedi. CVE-2026-118539 kimliğiyle izlenen access bypass açığı authentication gerektirmeden kullanılabiliyor ve bildirim “highly critical” olarak etiketlendi. Drupal’a göre modül bazı route’ları ve entity alanlarını yeterince korumuyor. Bu durum satıcıya maddi zarar verebiliyor. Modül 42.000’den fazla sitede çalışıyor.
Commerce Core açığı neyi açıyor
Açığın kaynağı eksik yetkilendirme kontrolü. Bazı route’lara ve entity alanlarına yetki sorgulanmadan erişilebiliyor. Bu bir remote code execution açığı değil, access bypass. Ama hedef bir e-ticaret sitesi olduğu için zarar sunucuda değil, siparişte ve kasada ortaya çıkabiliyor. Drupal da etkinin satıcıya maddi olabileceğini yazıyor.
Kim etkileniyor
Kaynak etkilenen aralığı 0.0.0 ile 2.41 arası ve 3.0.0 ile 3.3.13 arası olarak veriyor. Aynı metin yükseltme hedefi olarak da 3.3.13 ve 8.x-2.41 sürümlerini gösteriyor. Bu iki bilgi birbiriyle çelişiyor. Commerce Core açığı için yamalı sürümü Drupal’ın kendi bildiriminden doğrulayın. Headless kurulumda API üzerinden sipariş alan siteler de bu modülü kullanıyorsa kapsamda.
Ne kadar ciddi
Kaynak bir CVSS puanı vermiyor. Exploit için authentication ya da kullanıcı etkileşimi gerekmiyor. Sitenin internetten erişilebilir olması yetiyor. Commerce Core açığı şu anda saldırılarda kullanılıyor. Drupal bu yıl Mayıs’ta CVE-2026-9082 açığını, iki hafta önce de CVE-2026-108097 ve CVE-2026-108099 açıklarını duyurdu. Drupal çekirdeğinin sürümünü de aynı bakımda kontrol etmek mantıklı.
Yapılacaklar
- Kurulu sürümü görün:
composer show drupal/commerce- Drupal bildiriminde yamalı olarak belirtilen sürüme geçin.
- Siparişleri denetleyin. Tutar, ödeme durumu ve ödeme sağlayıcısının kayıtları birbirini tutmalı.
- Erişim log’larında anonim kullanıcıdan gelen checkout ve API isteklerini sipariş kayıtlarıyla eşleştirin. Kaynak hedeflenen route’ları açıklamıyor, bu yüzden geniş bir zaman aralığına bakın.
