Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-20

CVE-2025-54236

Adobe Commerce'te yetersiz girdi doğrulaması: oturum ele geçirme

Adobe Commerce

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
25 Eki 2025
Açık yaşı
414 gün
Kaydı açan
adobe
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 24 Eki 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 14 Kas 2025.

Yönetici özeti

E-ticaret altyapınızda kullanılan Adobe Commerce'teki bu açık, saldırganların kimlik bilgisi olmadan kullanıcı oturumlarını ele geçirmesine izin veriyor ve aktif olarak istismar ediliyor. Müşteri ve sipariş verilerinin ele geçirilmesi, itibar ve mali kayıp riski doğurur. Güncellemelerin vakit kaybetmeden uygulanması gerekir.

ÖzetTürkçe

Adobe Commerce'te yetersiz girdi doğrulamasından (CWE-20) kaynaklanan kritik bir güvenlik açığı bulunuyor. Açık, 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 ve bunlardan önceki sürümleri etkiliyor. Saldırgan kimlik doğrulaması ve kullanıcı etkileşimi olmadan ağ üzerinden istismar edebiliyor. Açık, CISA KEV kataloğuna eklenmiştir ve aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Saldırgan oturum ele geçirme yoluyla yetkili kullanıcıların oturumlarına erişebilir; bu da gizlilik ve bütünlük üzerinde yüksek etki yaratır. Mağaza verilerinin okunmasına ve değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Adobe Commerce versions 2.4.9-alpha2, 2.4.8-p2, 2.4.7-p7, 2.4.6-p12, 2.4.5-p14, 2.4.4-p15 and earlier are affected by an Improper Input Validation vulnerability. A successful attacker can abuse this to achieve session takeover, increasing the confidentiality, and integrity impact to high. Exploitation of this issue does not require user interaction.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Adobe'nin güvenlik bülteninde yayımlanan güncellemeleri ve yamaları Adobe Commerce kurulumunuza hemen uygulayın; 2.4.4-p15 ve daha eski sürümler dahil etkilenen tüm sürümler güncellenmelidir. Genel öneri
  2. Satıcı talimatlarına göre azaltma önlemlerini uygulayın. Bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin. Azaltma önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
  3. Yama uygulanana kadar yönetim ve mağaza arayüzüne erişimi güvenlik duvarı veya WAF ile kısıtlayın. Genel öneri
  4. Yama sonrası mevcut oturumları geçersiz kılın ve yönetici hesaplarının parolalarını yenileyin. Genel öneri

Ek önlemler

  • Web sunucusu ve uygulama günlüklerinde olağandışı oturum etkinliklerini, farklı IP adreslerinden gelen aynı oturum kullanımını ve şüpheli yönetici işlemlerini inceleyin. Genel öneri
  • Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın ve yönetim paneli erişimini IP ile sınırlayın. Genel öneri
  • Adobe'nin güvenlik bültenlerini düzenli takip edin ve yamaları önce test ortamında doğrulayıp hızla üretime alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Adobe Commerce ≤ 2.4.4-p15 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.