- Aktif istismar
- CWE-434
CVE-2026-48356
Adobe Commerce'de tehlikeli dosya türü yükleme açığı (kod çalıştırma)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 105 gün
- Kaydı açan
- adobe
Yönetici özeti
Online mağaza altyapısında kullanılan Adobe Commerce ve Magento ürünlerindeki bu kritik açık, saldırganların sistemde yetkisiz kod çalıştırmasına yol açabilir ve aktif olarak istismar edildiği bilinmektedir. Müşteri ve sipariş verilerinin ele geçirilmesi ya da mağazanın kontrolünün kaybı riski vardır. Güvenlik önlemlerinin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Adobe Commerce, Adobe Commerce B2B, Adobe Magento Open Source ve Adobe Commerce Events ürünlerinde, tehlikeli türdeki dosyaların kısıtlama olmadan yüklenmesine izin veren bir zafiyet (CWE-434) bulunuyor. Saldırı için kimlik doğrulama gerekmiyor; ancak kurbanın özel hazırlanmış bir bağlantıyı ziyaret etmesi veya ele geçirilmiş bir web sayfasıyla etkileşime girmesi gerekiyor. Zafiyetin etki alanı değişiyor (scope changed). Adobe Commerce Events için etkilenen sürümler 1.20.0 ve öncesi olarak belirtilmiş, 1.21.0 etkilenmiyor. Açık CISA KEV listesine eklenmiştir, yani aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan, mevcut kullanıcı bağlamında rastgele kod çalıştırabilir ve kurbanın hesabı veya oturumu üzerinde yüksek yetki ya da kontrol elde edebilir. Gizlilik ve bütünlük üzerinde yüksek etki söz konusudur.
Kaynaktaki açıklama (İngilizce)
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Adobe'nin güvenlik bülteninde yer alan düzeltme ve azaltma talimatlarını Adobe Commerce, Commerce B2B ve Magento Open Source kurulumlarınıza hemen uygulayın. Genel öneri
- Adobe Commerce Events kullanıyorsanız 1.20.0 ve öncesi sürümleri, etkilenmeyen 1.21.0 sürümüne yükseltin. Genel öneri
- CISA'nın gereği olarak üretici talimatlarına uygun önlemleri uygulayın; her varlığın internete açıklığını değerlendirin ve BOD 26-04 yama kılavuzuna uyun. Önlemler mevcut değilse ürünün kullanımını durdurun. CISA
- Sunucuda yetkisiz yüklenmiş dosya veya şüpheli etkinlik olup olmadığını inceleyin; CISA'nın adli bilişim triyaj gereklilikleri doğrultusunda inceleme yapın. CISA
Ek önlemler
- Yükleme dizinlerinde izin verilen dosya türlerini kısıtlayın ve bu dizinlerde betik çalıştırmayı engelleyin. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) kullanarak şüpheli yükleme isteklerini filtreleyin. Genel öneri
- Yönetici ve personel hesaplarına kimlik avı bağlantılarına karşı farkındalık eğitimi verin; yönetim panelini mümkünse erişim kısıtlamasıyla koruyun. Genel öneri
- Sunucu günlüklerini ve dosya bütünlüğünü izleyerek beklenmedik yeni dosyaları tespit edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler4 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe Commerce | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – | |
| Adobe Commerce B2B | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – | |
| Adobe Commerce Events | ≤ 1.20.0 | – |
| 1.21.0 Etkilenmiyor | – | |
| Adobe Magento Open Source | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- helpx.adobe.com/security/products/magento/apsb26-73.html Üretici bülteni
- sansec.io/…arch/magento-cms-block-loader-deepveindrilling Diğer
- sansec.io/research/polyshell-mass-attack-wave Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- adobe.com/trust/security/products/commerce/apsb26-73.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.