---
title: "Drupal Commerce Core'da kritik yetki atlama açığı aktif olarak istismar ediliyor"
url: "https://teknotayf.com/haber/drupal-commerce-core-da-kritik-yetki-atlama-acigi-aktif-olarak-istismar-ediliyor"
markdown_url: "https://teknotayf.com/haber/drupal-commerce-core-da-kritik-yetki-atlama-acigi-aktif-olarak-istismar-ediliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-10-30 10:45:30"
updated: "2026-10-30 09:01:12"
category: "Siber Güvenlik"
tags: ["Siber Saldırı","Web Güvenliği","Drupal Açığı","PHP2Shell","Yetki Atlama"]
source: "The Hacker News"
---

# Drupal Commerce Core'da kritik yetki atlama açığı aktif olarak istismar ediliyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/drupal-commerce-core-da-kritik-yetki-atlama-acigi-aktif-olarak-istismar-ediliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Drupal, Commerce Core bileşenindeki son derece kritik bir yetkilendirme açığının yabanda aktif olarak istismar edildiğini duyurdu. Açık CVE-2026-118539 olarak kayıtlı ve satıcıları mali açıdan etkileyebilecek bir erişim atlamasına yol açıyor. Gelişme, PHP2Shell olarak bilinen ve aktif saldırı girişimlerine maruz kalan iki kritik PHP açığının gündemde olduğu bir döneme denk geldi.

- **Yayın tarihi:** 2026-10-30 10:45
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Saldırı, Web Güvenliği, Drupal Açığı, PHP2Shell, Yetki Atlama
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html)

![Drupal Commerce Core'da kritik yetki atlama açığı aktif olarak istismar ediliyor](https://teknotayf.com/assets/uploads/2026/10/c6aa7711d445961554218aee625a8ef3.jpg)

Drupal, Commerce Core bileşenindeki "son derece kritik" güvenlik açığının tehdit aktörleri tarafından **aktif olarak istismar edildiği** konusunda uyardı.

Açık, **CVE-2026-118539** olarak izleniyor (CVSS puanı: N/A) ve Commerce Core'un 0.0.0'dan 2.41'e ve 3.0.0'dan 3.3.13'e kadar olan sürümlerini etkileyen eksik yetkilendirme sorunu.

Drupal'ın uyarısında "Bu modül, dahili bir alışveriş sepeti ve ödeme formu aracılığıyla veya API'ler üzerinden ayrık uygulamalarla müşterilere mal ve hizmet satmanızı sağlar" denildi.

"Modül, belirli rotaları ve varlık alanlarını yeterince korumuyor ve bu durum satıcıyı mali açıdan etkileyebilecek bir erişim atlamasına yol açıyor."

Açık kaynaklı içerik yönetim çerçevesi, açığın "yabanda aktif olarak istismar edildiğini" kabul etti ancak faaliyetin niteliği veya kampanyanın kapsamı hakkında ayrıntı vermedi.

Kullanıcılara en son sürüme güncelleme öneriliyor.

Sürüm 3.x için **Commerce Core 3.3.13**'e yükseltin.

Daha eski sürümler için Commerce Core 8.x-2.41'e yükseltin.

Drupal, açığı bildiren araştırmacılar olarak Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd)'yi gösterdi.

Gelişme, CVE-2026-109618 ve CVE-2026-109619 olarak izlenen ve topluca PHP2Shell olarak adlandırılan PHP'deki iki kritik güvenlik açığının yabanda aktif istismar girişimlerine maruz kaldığı bir dönemde geldi. Bu açıkların CVSS puanları 9.2.

Google'a ait Wiz'den alınan verilere göre 25 Ekim itibarıyla PHP2Shell'den önemli ölçüde etkilenen kuruluşların oranı yüzde 52,1'e geriledi.

Bulut güvenlik şirketi, şimdiye kadar iki tür faaliyet gözlemlediğini söyledi; bunlardan biri kamuya açık kanıt-oluşturma (PoC) açıklarıyla eşleşen PHP2Shell istismar mekanizmasını kullanan girişimler.

Diğer kategori, Wiz araştırmacıları Yaara Shriki, Shahar Dorfman, Alma Blachsan ve Yaron Samuel'e göre, "açıklarla ilgisi olmayan ancak bunun yerine oturum zehirleme ve uygulamadaki ayrı bir yerel dosya dahil etme (LFI) açığına dayanan PHP2Shell markalı araçları" ifade ediyor.

"Gözlemlerimiz, yalnızca bellek tükenmesini tetiklemenin istismar zincirini tamamlamak için yeterli olmadığını gösteriyor. PHP derlemelerindeki farklılıklar, bellek sınırları ve çalışan davranışı sonraki aşamaların çalışmasını engelleyebilir. Fırsatçı saldırganlar için zorluk, halihazırda mevcut olan kamuya açık PoC'leri benzer şekilde güvenilir operasyonel araçlara dönüştürmek ya da bunları kendi başlarına geliştirmektir."

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/drupal-commerce-core-da-kritik-yetki-atlama-acigi-aktif-olarak-istismar-ediliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.