Drupal Commerce Core'da Kritik Erişim Açığı, Hemen Güncelle

Drupal güvenlik ekibi, Commerce Core modülündeki CVE-2026-118539 adlı erişim bypass açığının aktif olarak istismar edildiğini uyardı. Bu açık, yeterince korumalı olmayan rotalar ve varlık alanları sayesinde yetkisiz değişikliklere izin veriyor. E-ticaret işletmecileri için bu, siparişlerde dolandırıcılık, tutarsızlık ve finansal kayıp anlamına geliyor.

Açık nedir? Commerce Core'da belirli API uç noktaları ve veri alanları, kimlik doğrulamayı düzgün şekilde kontrol etmiyor. Saldırgan, bu açığı kullanarak başkasının siparişini değiştirebiliyor, ürün fiyatını düşürebiliyor, teslimat adresini değiştirebiliyor veya ödeme durumunu manipüle edebiliyor. Drupal ekibi, bu açığın gerçek ortamda sömürüldüğünü teyit etti.

Ne yapmalısın? İlk adım güncelleme. Commerce Core 3.x kullanıyorsan 3.3.13 sürümüne, eski desteklenen dal 8.x'i kullanıyorsan 2.41 sürümüne geç. Ama burada önemli bir nokta var: yalnızca yama uygulamak yeterli değil. Saldırganlar zaten değişiklik yapmış olabilir. Güncelleme sonrasında tüm siparişleri denetlemen gerekiyor, özellikle fiyat, adres, ödeme durumu ve ürün miktarı gibi kritik alanları.

Eğer çok sayıda siparişin olduğu bir mağazaysan, veritabanı loglarını veya sipariş geçmişini gözden geçir. Anormal değişiklikleri bul. Müşterilerin hesaplarında tutarsızlık varsa, onları bilgilendir. Drupal henüz kaç mağazanın etkilendiğini açıklamadı, ama "aktif istismar" ifadesi seninle ilgili olabileceğini gösteriyor.

Özetle: hemen güncelle, sonra denetim yap. Erteleme yapma.