- Aktif istismar
- CWE-1336
CVE-2026-75650
Adobe Commerce ve Magento'da şablon motoru enjeksiyonu ile kod çalıştırma
- Yayımlandı
- Güncellendi
- 9 Eyl 2026
- Açık yaşı
- 50 gün
- Kaydı açan
- adobe
Yönetici özeti
Online mağaza altyapısında kullanılan Adobe Commerce ve Magento ürünlerinde, saldırganların dışarıdan ve şifresiz olarak mağaza sunucusunu ele geçirmesine imkân tanıyan çok ciddi bir açık var. Açığın saldırılarda fiilen kullanıldığı doğrulandığı için acil müdahale gerekiyor. Gecikme; müşteri verilerinin ele geçirilmesine, satış kesintisine ve itibar kaybına yol açabilir.
ÖzetTürkçe
Adobe Commerce, Adobe Commerce B2B ve Adobe Magento Open Source ürünlerinde, şablon motorunda kullanılan özel ifadelerin yetersiz temizlenmesinden (CWE-1336) kaynaklanan kritik bir açık bulunuyor. Açık, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebiliyor. CISA, açığın aktif olarak istismar edildiğini belirterek bilinen istismar edilen açıklar (KEV) kataloğuna eklemiştir. Etkilenen ürünleri kullanan tüm e-ticaret siteleri risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan hedef sistemde keyfi kod çalıştırabilir. Açığın kapsamı değişmektedir (scope changed); bu nedenle gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşabilir ve etki uygulamanın dışına taşabilir.
Kaynaktaki açıklama (İngilizce)
Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- Adobe'nin güvenlik bülteninde yayımlanan güncellemeyi veya azaltıcı önlemleri Adobe Commerce, Adobe Commerce B2B ve Magento Open Source kurulumlarınıza vakit kaybetmeden uygulayın. Genel öneri
- CISA'nın gereklilikleri doğrultusunda satıcı talimatlarına göre azaltıcı önlemleri uygulayın; her varlığın internete açıklık durumunu değerlendirin ve BOD 26-04 yama kılavuzuna uyun. CISA
- CISA'nın istediği adli bilişim triyaj gereklilikleri kapsamında sistemlerinizde olası bir ele geçirilme olup olmadığını inceleyin. CISA
- Azaltıcı önlemler uygulanamıyorsa ve bulut hizmeti için de çözüm yoksa, ürünün kullanımını durdurmayı değerlendirin. CISA
Ek önlemler
- Yama uygulanana kadar yönetim ve mağaza sunucularına erişimi mümkün olduğunca kısıtlayın; web uygulama güvenlik duvarı (WAF) kurallarıyla şüpheli şablon ifadeleri içeren istekleri engelleyin. Genel öneri
- Web sunucusu ve uygulama günlüklerinde olağandışı istekleri, beklenmeyen dosya değişikliklerini ve yeni oluşturulmuş yönetici hesaplarını izleyin. Genel öneri
- Mağaza sunucusunun diğer iç sistemlere erişimini ağ segmentasyonu ile sınırlayın ve uygulamayı en az yetkiyle çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe Commerce | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – | |
| Adobe Commerce B2B | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – | |
| Adobe Magento Open Source | Sürüm belirtilmemiş | – |
| Sürüm belirtilmemiş Etkilenmiyor | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.