- Aktif istismar
- CWE-20
CVE-2022-24086
Adobe Commerce ödeme adımında girdi doğrulama hatası ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1714 gün
- Kaydı açan
- adobe
Yönetici özeti
Bu açık, e-ticaret sitenizin ödeme adımı üzerinden saldırganların sistemi ele geçirmesine imkân tanır ve aktif olarak istismar edildiği bilinmektedir. Müşteri ve sipariş verilerinin çalınması ya da sitenin kullanılamaz hale gelmesi riski vardır. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Adobe Commerce'in 2.4.3-p1 ve öncesi ile 2.3.7-p2 ve öncesi sürümlerinde, ödeme (checkout) işlemi sırasında yetersiz girdi doğrulamasından kaynaklanan bir güvenlik açığı bulunmaktadır. Açık, kullanıcı etkileşimi gerektirmeden ve kimlik doğrulaması olmadan ağ üzerinden istismar edilebilir. Bu sürümleri kullanan tüm Adobe Commerce (Magento Commerce) mağazaları etkilenmektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, sunucuda kimlik doğrulaması olmadan keyfi kod çalıştırabilir ve mağazanın gizlilik, bütünlük ve erişilebilirliği üzerinde tam kontrol elde edebilir.
Kaynaktaki açıklama (İngilizce)
Adobe Commerce versions 2.4.3-p1 (and earlier) and 2.3.7-p2 (and earlier) are affected by an improper input validation vulnerability during the checkout process. Exploitation of this issue does not require user interaction and could result in arbitrary code execution.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Adobe'nin yayımladığı güvenlik güncellemesini, satıcının talimatlarına uygun şekilde Adobe Commerce kurulumunuza uygulayın; 2.4.3-p1 ve öncesi ile 2.3.7-p2 ve öncesi sürümler savunmasızdır. Genel öneri
- CISA'nın gerekli eylemi doğrultusunda güncellemeleri satıcı talimatlarına göre uygulayın. CISA
- Güncelleme hemen uygulanamıyorsa ödeme sayfalarına erişimi geçici olarak kısıtlamayı veya bir web uygulama güvenlik duvarı (WAF) ile zararlı istekleri filtrelemeyi değerlendirin. Genel öneri
Ek önlemler
- Güncelleme öncesinde ve sonrasında sunucuda beklenmedik dosyalar, yeni yönetici hesapları ve şüpheli süreçler olup olmadığını kontrol ederek olası bir ele geçirilme durumunu araştırın. Genel öneri
- Ödeme (checkout) uç noktalarına gelen olağan dışı istekler için web sunucusu ve uygulama günlüklerini izleyin. Genel öneri
- Mağazayı güncel yama seviyesinde tutmak için Adobe güvenlik bültenlerini düzenli takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe Magento Commerce | ≤ 2.4.3-p1 | – |
| ≤ 2.3.7-p2 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.