Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-863

CVE-2026-71362

Adobe Commerce ve Magento'da yetkilendirme hatası: ayrıcalık yükseltme

Adobe Commerceadobe commerceAdobe Commerce B2B

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
77 gün
Kaydı açan
adobe
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 24 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 27 Eyl 2026.

Yönetici özeti

Online mağaza altyapısında kullanılan Adobe Commerce ve Magento ürünlerindeki bu açık, saldırganların giriş yapmadan yetkisiz erişim kazanmasına izin verebiliyor ve şu anda aktif olarak kötüye kullanılıyor. Müşteri ve sipariş verilerinin ele geçirilmesi veya değiştirilmesi riski nedeniyle güncelleme acilen yapılmalıdır.

ÖzetTürkçe

Adobe Commerce, Adobe Commerce B2B ve Adobe Magento Open Source ürünlerinde hatalı yetkilendirme (CWE-863) zafiyeti bulunuyor. Kimlik doğrulaması ve kullanıcı etkileşimi gerekmeden ağ üzerinden istismar edilebiliyor ve ayrıcalık yükseltmeye yol açabiliyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklendi, yani aktif olarak istismar ediliyor. Etkilenen sürümler arasında Adobe Commerce 2.4.4 ve öncesi ile 2.4.5–2.4.9, B2B tarafında 1.3.3, 1.3.4, 1.4.2, 1.5.2 ve 1.5.3 sürümleri yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan hassas kaynaklara yükseltilmiş erişim elde edebilir. Bu durum gizli verilerin okunmasına ve verilerin değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Adobe'nin güvenlik bültenini inceleyin ve Adobe Commerce, Commerce B2B veya Magento Open Source kurulumunuz için satıcının yayımladığı güncellemeyi veya yamayı uygulayın. Veride 2.4.4 (Commerce) ve 1.3.3 (B2B) sürümleri düzeltilmiş olarak görünse de bazı yeni sürümler de etkilenenler listesinde yer aldığından, doğru yama sürümünü mutlaka satıcı bülteninden doğrulayın. Üretici
  2. CISA'nın gerekliliği doğrultusunda satıcı talimatlarına göre azaltım önlemlerini uygulayın, BOD 26-04 güncelleme önceliklendirme kılavuzuna ve adli bilişim triyajı gerekliliklerine uyun. Her varlığın internete açıklık durumunu değerlendirin; azaltım önlemleri mevcut değilse ürünün kullanımını bırakın. CISA
  3. Yama uygulanana kadar yönetim arayüzüne ve API uç noktalarına erişimi güvenilir IP aralıklarıyla kısıtlayın; mümkünse web uygulama güvenlik duvarı (WAF) kurallarıyla koruma ekleyin. Genel öneri
  4. Zafiyet aktif olarak istismar edildiği için yama sonrasında sistemi olası ele geçirilme belirtileri açısından inceleyin: beklenmeyen yönetici hesapları, yetkisiz değişiklikler ve şüpheli erişim kayıtları. Genel öneri

Ek önlemler

  • Yönetici hesaplarını, rollerini ve API erişim anahtarlarını gözden geçirin; tanımadığınız veya gereksiz yetkili kayıtları kaldırın. Genel öneri
  • Web sunucusu ve uygulama günlüklerini, yetkisiz kaynaklara yapılan olağandışı isteklere karşı izleyin ve merkezi bir günlük sisteminde saklayın. Genel öneri
  • Mağaza ortamını ve yönetim panelini gereksiz yere internete açmayın; en az yetki ilkesini uygulayın. Genel öneri
  • Güvenlik güncellemeleri için düzenli bir yama takvimi oluşturun ve Adobe güvenlik bültenlerini takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler6 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Adobe Commerce Sürüm belirtilmemiş –
Sürüm belirtilmemiş Etkilenmiyor –
adobe commerce < 2.4.4 2.4.4
2.4.4 –
2.4.5 –
2.4.6 –
2.4.7 –
2.4.8 –
2.4.9 –
Adobe Commerce B2B Sürüm belirtilmemiş –
Sürüm belirtilmemiş Etkilenmiyor –
adobe Commerce B2b < 1.3.3 1.3.3

ve 11 satır daha

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.