Drupal Commerce Core açığı aktif olarak istismar ediliyor
Commerce Core açığı CVE-2026-118539 authentication gerektirmeden istismar ediliyor; 3.3.13 ve 8.x-2.41 yamalı, siparişlerin denetlenmesi gerekiyor.
Drupal, Commerce Core açığı CVE-2026-118539’un sahada istismar edildiğini doğruladı ve online mağaza sahiplerini yamaya çağırdı. Alışveriş sepeti ve ödeme adımı ekleyen bu contributed modül 42.000’den fazla sitede kullanılıyor. Drupal saldırıların yöntemini, arkasındaki aktörü ve hedef alınan site sayısını açıklamadı.
Commerce Core açığı ne yapıyor
Drupal’a göre modül bazı route’ları ve entity alanlarını yeterince korumuyor. Sonuç bir access bypass ve hedef sunucu değil, sipariş akışı. Yani zarar doğrudan parayla ölçülüyor: satıcı mal gönderip karşılığını alamayabilir.
Hangi sürümler etkileniyor
3.x branch’inde 3.3.13 öncesi, eski branch’te 8.x-2.41 öncesi sürümler açık. Yamalı sürümler bu ikisi.
Ciddiyet
Drupal kendi risk puanlamasında 21/25 veriyor; kaynakta CVSS puanı yok. Exploit için authentication gerekmiyor ve modülün yapılandırması sonucu değiştirmiyor. Bu yüzden “bizim kurulumda o özellik kapalı” gerekçesiyle yamayı ertelemek mümkün değil. Açığın zero-day (sıfırıncı gün) olarak kullanılıp kullanılmadığı belli değil.
Yapılacaklar
- Composer ile yönetilen sitelerde güncel olmayan Drupal paketlerini listeleyin:
composer outdated "drupal/*"- Commerce Core açığı için 3.3.13 ya da 8.x-2.41’e geçin. Kaynak geçici bir azaltma yöntemi önermiyor, tek çözüm yama.
- Son dönemdeki siparişleri ödeme sağlayıcısının kayıtlarıyla karşılaştırın. Tutar, durum ve ödeme eşleşmesindeki tutarsızlıklar Commerce Core açığının izini taşıyabilir.
- Stripe kullanıyorsanız 28 Ekim’deki diğer bildirimlere de bakın; biri ödeme alınmadan ödendi görünen siparişlerle ilgili.
