Drupal Commerce Core bileşeninde kritik yetkilendirme atlatma açığı aktif olarak istismar ediliyor

brown concrete building under white clouds during daytime — Alexandre Viard / Unsplash

Drupal, Commerce Core bileşenindeki son derece kritik bir güvenlik açığının tehdit aktörleri tarafından aktif olarak istismar edildiği konusunda uyarıda bulundu. Bu açık, CVE-2026-118539 kimliğiyle takip edilmektedir ve 0.0.0 ile 2.41 arasında, ayrıca 3.0.0 ile 3.3.13 arasında sürümleri etkileyen bir yetkilendirme eksikliği durumudur. Açığın CVSS puanı kaynakta belirtilmemiştir.

Drupal, bu modülün müşterilere dahili bir alışveriş sepeti ve ödeme formu aracılığıyla veya API'ler üzerinden ayrık uygulamalar yoluyla mal ve hizmet satılmasını sağladığını açıkladı. Şirket, modülün belirli rotaları ve varlık alanlarını yeterince korumadığını, bunun da satıcıyı mali açıdan etkileyebilecek bir erişim atlatmasına yol açtığını belirtti. Açık kaynak içerik yönetim çerçevesi, açığın gerçek ortamda aktif olarak istismar edildiğini kabul etti ancak faaliyetin niteliği veya kampanyanın kapsamı hakkında hiçbir ayrıntı vermedi. Kullanıcılara en son sürüme güncelleme yapmaları önerildi.

Açığı bildiren araştırmacılar Dan Puccetti, Marcus Johansson ve Robert Snyder olarak kaydedildi. Bu gelişme, PHP'de CVE-2026-109618 ve CVE-2026-109619 kimlikleriyle takip edilen ve PHP2Shell olarak adlandırılan iki kritik açığın da aktif istismar girişimlerine maruz kaldığı bir dönemde yaşandı. Bu PHP açıklarının CVSS puanı 9.2 olarak belirlendi.

Google'a bağlı Wiz şirketinin verilerine göre, 25 Ekim itibarıyla PHP2Shell'den önemli ölçüde etkilenen kuruluşların yüzdesi yüzde 52,1'e düştü. Bulut güvenlik şirketi, şu ana kadar iki tür faaliyet gözlemlediğini bildirdi. Bunlardan biri, halka açık kanıt kodu istismarlarıyla eşleşen PHP2Shell istismar mekanizmasını kullanan girişimlerdi. Diğer kategori ise, PHP2Shell markalı ancak açıklarla ilgisiz, oturum zehirlemesi ve uygulamadaki ayrı bir yerel dosya dahil etme açığına dayanan araçlara atıfta bulunuyordu. Araştırmacılar, bellek tükenmesini tetiklemenin tek başına istismar zincirini tamamlamak için yeterli olmadığını ve PHP derlemelerindeki, bellek sınırlarındaki ve işçi davranışındaki farklılıkların sonraki aşamaların çalışmasını engelleyebileceğini belirtti.