İçeriğe geç
Menü

Magento'da BlockStrap adlı yeni açık, e-ticaret sunucularında kod çalıştırmaya izin veriyor

Adobe'nin 13 Ekim'de kapattığı açık, eylülde yamalanan StyleSmuggler'ın bıraktığı boşluktan doğuyor. Güvenlik şirketi Sansec, açığın kısa sürede toplu saldırılarda kullanılmasını bekliyor.

Kırmızı Ekip
  • 2 dk okuma
  • 3 kaynak

Kısaca

  • CVE-2026-103849, Adobe'nin APSB26-153 bülteniyle Ekim 2026 sürümlerinde kapatıldı. Eylül sürümleri dahil önceki sürümler etkileniyor.
  • Sansec'e göre StyleSmuggler için yüklenen eylül düzeltmesi bu açığı kapatmıyor, iki düzeltmenin birlikte uygulanması gerekiyor.

Adobe 13 Ekim’de, e-ticaret platformları Adobe Commerce ve Magento Open Source’taki CVE-2026-103849 numaralı açığı kapattı. E-ticaret güvenliği alanında çalışan Sansec 16 Ekim’de açığı inceleyip BlockStrap adını verdi ve kısa süre içinde saldırılarda kullanılmasını beklediğini açıkladı. Açık, platformun e-posta şablonlarını işleyen motorundaki bir hatadan kaynaklanıyor ve sunucuda PHP kodu çalıştırılmasına izin verebiliyor. CVE kaydındaki CVSS 3.1 puanı 10.

Sansec’e göre açık, eylülde kapatılan ve kısa sürede toplu saldırılarda kullanılan StyleSmuggler açığının (CVE-2026-75650) düzeltmesinin bıraktığı bir boşluktan doğuyor. Aynı şablon motorunda, alt şablona yerleştirilen içerik ikinci kez işlenirken kök düzeyde komut olarak çalışabiliyor. Sansec 24 saatten kısa sürede dört farklı saldırı yolu bulduğunu söylüyor.

Adobe açığa “öncelik 2” derecesi verdi, bu da 30 gün içinde yama yapılması önerisi anlamına geliyor. Sansec bu değerlendirmeye katılmıyor. Şirkete göre saldırı yolu karmaşık olsa da yapay zekâ ajanı kullanan biri yamayı tersine çevirerek kısa sürede çalışan bir saldırı kodu üretebilir. Sansec, benzer karmaşıklıktaki StyleSmuggler’ın yamadan üç gün sonra toplu saldırılarda kullanılmaya başladığını hatırlatıyor. Sansec’in 16 Ekim’deki açıklamasına göre henüz saldırı gözlenmedi.

Etkilenen sürümler

  • Adobe Commerce: 2.4.4 ile 2.4.9 arasındaki serilerin 2026 eylül ve önceki sürümleri
  • Magento Open Source: 2.4.7, 2.4.8 ve 2.4.9 serilerinin 2026 eylül ve önceki sürümleri
  • Adobe Commerce B2B: 1.3.3 ile 1.5.3 arasındaki serilerin 2026 eylül ve önceki sürümleri

Düzeltme her serinin 2026-oct sürümünde yer alıyor.

Önerilen önlemler

Magento ya da Adobe Commerce kullanan e-ticaret sitelerinin kullandıkları serinin 2026 ekim sürümüne geçmesi ya da Adobe’nin ayrı yamasını uygulaması gerekiyor. Sansec, yalnızca Composer ile paketleri güncellemenin yeterli olmadığını, ekim sürümünün ya da ayrı yamanın uygulandığından emin olunması gerektiğini söylüyor. StyleSmuggler için eylülde uygulanan VULN-39341 düzeltmesi de yerinde kalmalı, iki düzeltme farklı açıkları kapatıyor. StyleSmuggler’ın yamadan kısa süre sonra toplu saldırılarda kullanıldığı düşünülürse güncellemeyi ertelememek gerekiyor.

Kaynaklar

Bu konuda