Drupal'ın e-ticaret modülü Commerce Core'daki yetkilendirme açığı saldırılarda kullanılıyor

Drupal güvenlik ekibi, 28 Ekim’de yayımladığı SA-CONTRIB-2026-254 numaralı bildiride, Drupal sitelerinde ürün ve hizmet satmak için kullanılan Commerce Core modülündeki bir yetki atlatma açığını kapattığını duyurdu. Bildiriye göre açık saldırılarda kullanılıyor. Açığın CVE numarası CVE-2026-118539. Drupal açığı kendi risk ölçeğinde 25 üzerinden 21 puanla “Highly critical” olarak sınıflandırdı.

Açığın etkisi

Drupal’a göre modül bazı adresleri (route) ve kayıt alanlarını yeterince korumuyor. Bu durum, satıcıyı mali açıdan etkileyebilecek bir yetki atlatmasına yol açıyor. CVE kaydına göre açık, eksik yetkilendirme kontrolünden kaynaklanıyor ve korunması gereken sayfalara doğrudan istek gönderilerek kullanılabiliyor. BleepingComputer’a göre açık, giriş yapmamış saldırganlar tarafından kullanılabiliyor. Drupal’ın bildirisi saldırıların nasıl yapıldığını ve kimleri hedef aldığını açıklamıyor.

CVE kaydında Drupal bir CVSS puanı vermiyor. Kayda CISA’nın eklediği değerlendirmede CVSS 3.1 puanı 6.5, gizlilik ve bütünlük üzerindeki etki düşük olarak gösteriliyor.

BleepingComputer’a göre Commerce Core 42 binden fazla sitede kullanılıyor. Modül, Drupal üzerinde e-ticaret siteleri ve alışveriş uygulamaları kurmak için bir altyapı sağlıyor.

Etkilenen ve düzeltilmiş sürümler

• Commerce Core’un 2.41 öncesi sürümleri ile 3.0.0 ve sonrası 3.3.13 öncesi sürümleri etkileniyor.
• 3.x dalını kullananlar Commerce Core 3.3.13’e, daha eski dalları kullananlar Commerce Core 8.x-2.41’e geçmeli.

Önerilen önlemler

Drupal, sitelerin hemen düzeltilmiş sürümlere geçmesini istiyor. Açık saldırılarda kullanıldığı için Drupal, sitelerin siparişlerini tutarsızlıklara karşı denetlemesini de öneriyor.