- Aktif istismar
- Yama var
- CWE-502
CVE-2026-45247
Mirasvit Full Page Cache Warmer for Magento 2'de PHP nesne enjeksiyonu (RCE)
- Yayımlandı
- Güncellendi
- 4 Haz 2026
- Açık yaşı
- 155 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Çevrimiçi mağazanızda bu eklenti kuruluysa, internetten herhangi biri şifre bilmeden sunucunuzun kontrolünü ele geçirebilir. Açık şu anda aktif olarak istismar edildiği için acil önlem gerekir. Müşteri ve sipariş verilerinin çalınması ya da mağazanın kötüye kullanılması riski yüksektir.
ÖzetTürkçe
Magento 2 için Mirasvit Full Page Cache Warmer eklentisinin 1.11.12 öncesi sürümlerinde, CacheWarmer çerezindeki veri PHP'nin yerel unserialize fonksiyonuna kısıtlama olmadan aktarılıyor. Kimliği doğrulanmamış bir saldırgan, özel hazırlanmış serileştirilmiş bir PHP nesnesi göndererek Magento ve bağımlılıklarındaki gadget zincirleri üzerinden sunucuda kod çalıştırabilir. Eklentiyi kullanan tüm Magento 2 mağazaları etkilenir. Açık, CISA KEV listesine eklenmiştir ve aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan sunucuda uzaktan keyfi kod çalıştırabilir. Bu durum mağazanın ve sunucudaki verilerin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Mirasvit Full Page Cache Warmer eklentisini hemen 1.11.12 veya daha yeni bir sürüme güncelleyin. Üretici
- CISA'nın gerekli eylemi doğrultusunda satıcının yönergelerine göre önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını bırakın. CISA
- Güncelleme yapılana kadar eklentiyi devre dışı bırakın veya CacheWarmer çerezini içeren istekleri web uygulaması güvenlik duvarı (WAF) üzerinde engelleyin. Genel öneri
- Güncellemeden sonra sunucuyu olası ele geçirilme belirtileri açısından inceleyin; şüpheli dosyaları, yeni yönetici hesaplarını ve beklenmeyen zamanlanmış görevleri kontrol edin. Genel öneri
Ek önlemler
- Web sunucusu ve uygulama günlüklerinde CacheWarmer çerezi içeren olağandışı veya anormal uzunlukta istekleri izleyin. Genel öneri
- Magento ve üçüncü taraf eklentileri düzenli olarak güncelleyin; kullanılmayan eklentileri kaldırın. Genel öneri
- Web sunucusu kullanıcısının dosya sistemi ve ağ yetkilerini en aza indirin, kod dizinlerini yazmaya kapalı tutun. Genel öneri
- Şüpheli etkinlik tespit ederseniz sunucuda kullanılan parolaları, API anahtarlarını ve veritabanı kimlik bilgilerini yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Mirasvit Full Page Cache Warmer for Magento 2 | < 1.11.12 | 1.11.12 |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.