Drupal Commerce Core'daki erişim atlatma açığı CVE-2026-118539 saldırılarda kullanılıyor; mağazalara sipariş denetimi çağrısı
Drupal güvenlik ekibi, Commerce Core modülündeki "highly critical" erişim atlatma açığının sahada istismar edildiğini doğruladı. Düzeltme 3.x için 3.3.13, 2.x için 8.x-2.41 sürümünde; yöneticilerden siparişlerdeki tutarsızlıkları incelemeleri isteniyor.
CVE-2026-118539
Drupal güvenlik ekibi, e-ticaret sitelerinin temelini oluşturan Commerce Core modülündeki bir erişim atlatma açığı için 28 Ekim'de SA-CONTRIB-2026-254 bildirimini yayımladı. CVE-2026-118539 olarak izlenen açık "Highly critical" sınıfında. Bildirime göre modül bazı route'ları ve entity alanlarını yeterince korumuyor; eksik yetki kontrolü, satıcıyı finansal olarak etkileyebilecek bir erişim atlatmasına yol açıyor.
Drupal, açığın sahada istismar edildiğini doğruladı ve yöneticilerden siparişlerini tutarsızlıklara karşı denetlemelerini istedi. Saldırıların yöntemi ve ölçeği açıklanmadı. CISA KEV kataloğunda henüz yer almıyor, ancak üreticinin aktif istismar teyidi nedeniyle masamız açığı acil önceliğe aldı. CVE kaydında ve NVD'de şimdilik CVSS puanı bulunmuyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Drupal Commerce Core 3.x | 3.3.13 öncesi 3.x sürümleri | 3.3.13 |
| Drupal Commerce Core 2.x | 8.x-2.41 öncesi sürümler | 8.x-2.41 |
Kesin sürüm aralığı için SA-CONTRIB-2026-254 bildirimindeki listeyi esas alın.
Beni etkiliyor mu?
Drupal tabanlı bir mağaza işletiyorsanız Commerce modülünün kurulu sürümüne bakın. Yönetim arayüzünde Raporlar › Kullanılabilir güncellemeler sayfası güvenlik güncellemesi bekleyen modülleri gösterir. Sunucuda proje kök dizininde salt okunur kontrol için:
grep -A 3 "\"name\": \"drupal/commerce\"" composer.lockÇıktıdaki sürüm 3.3.13 ya da 8.x-2.41'den eskiyse etkilenen aralıktasınız. Ayrıca son haftaların siparişlerinde beklenmedik fiyat, indirim, ödeme durumu ya da sahiplik değişikliği olup olmadığını Commerce › Siparişler ekranından gözden geçirin.
Ne yapılmalı?
- Commerce Core'u 3.x dalında 3.3.13'e, 2.x dalında 8.x-2.41'e yükseltin; değişikliği acil change olarak planlayın ve önce yedek alın.
- Hemen yükseltemiyorsanız mağazayı bakım moduna almayı ya da ödeme adımını geçici olarak durdurmayı değerlendirin; Drupal bildirimde ayrı bir workaround tanımlamıyor.
- Drupal'ın tavsiyesine uyarak 28 Ekim öncesinden bu yana oluşturulan ve değiştirilen siparişleri tutar, ödeme durumu ve kullanıcı eşleşmesi açısından denetleyin; şüpheli kayıtları ödeme sağlayıcısının hareketleriyle karşılaştırın.
- Web sunucusu ve uygulama loglarında Commerce route'larına anonim ya da düşük yetkili oturumlardan gelen olağandışı istekleri inceleyin.
- Drupal'ın aynı dönemde yayımladığı diğer contrib bildirimlerini de gözden geçirip mağazanızdaki modüllerin tamamını güncel tutun.
