Drupal Commerce'de Kritik Yetkilendirme Açığı Aktif Olarak İstismar Ediliyor

Drupal, e-ticaret modülü Commerce Core'da bulduğu ve saldırganların aktif olarak istismar ettiği ciddi bir yetkilendirme açığı konusunda uyarı yayınladı. CVE-2026-118539 olarak kataloglanmış bu açık, 0.0.0 ile 2.41 arasındaki ve 3.0.0 ile 3.3.13 arasındaki tüm sürümleri etkiliyor.

Sorun, Commerce Core modülünün eksik yetkilendirme kontrollerinden kaynaklanıyor. Bu modül müşterilere alışveriş sepeti aracılığıyla mal ve hizmet satmanızı sağlayan temel bir bileşen olduğu için, açığın kapsamı geniş. Saldırganlar uygun olmayan API çağrıları yaparak, yetkilendirme denetimlerini atlatıp hassas işlemleri gerçekleştirebiliyor.

Eğer Drupal Commerce kullanan bir e-ticaret siteniz varsa, derhal kontrol etmen gerekiyor. Drupal'in resmi güvenlik danışmasında belirtilen sürüm numaralarını kontrol et ve eğer etkilenen bir versiyonda iseniz, en kısa zamanda güncelleme yap. Saldırganlar zaten bu açığı kullanmaya başlamışlar, bu yüzden bekleme şansın yok.

Güncelleme yapılamıyorsa, geçici olarak Commerce Core modülünü devre dışı bırakabilirsin, ancak bu uzun vadede çözüm değil. Sunucun erişim loglarını kontrol ederek, açığın istismar edilip edilmediğini de görebilirsin, olağandışı API çağrıları veya yetkilendirme hatalarına dikkat et.