Magento ve Adobe Commerce'teki PolyShell açığı CISA'nın listesine girdi, Sansec'e göre açıkla yüzlerce mağazaya zararlı kod yerleştirildi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 27 Ekim’de Adobe Commerce ve Magento Open Source’taki CVE-2026-48356’yı istismar edilen açıklar listesi KEV’e ekledi. PolyShell adıyla bilinen açık için ABD federal kurumlarına 10 Kasım’a kadar süre verildi. CISA aynı gün, Google’ın Brotli kütüphanesindeki ve Node.js’i de etkileyen CVE-2026-111497’yi de listeye ekledi.

Açığın etkisi

Adobe’nin CVE kaydına göre açık, tehlikeli türdeki dosyaların kısıtlama olmadan yüklenmesine izin veriyor ve mevcut kullanıcının yetkileriyle kod çalıştırılmasına yol açabiliyor. Kayda göre saldırgan bu yolla kurbanın hesabı ya da oturumu üzerinde daha yüksek erişim veya kontrol elde edebilir. Kayıtta istismar için kullanıcı etkileşimi gerektiği, kurbanın özel hazırlanmış bir bağlantıyı açması ya da ele geçirilmiş bir sayfayla etkileşime girmesi gerektiği yazıyor. Açığın CVSS 3.1 puanı 9.3.

Adobe açığı, 14 Temmuz’da yayımladığı APSB26-73 bülteniyle kapattı. Sansec bu bülteni Adobe’nin desteklenen sürümler için PolyShell düzeltmesi olarak tanımlıyor.

Sansec’in gözlemleri

Sansec, 30 Mart’ta yayımladığı raporda saldırganların PolyShell’i büyük ölçekte istismar ederek bir saat içinde 471 mağazaya girdiğini açıkladı. Rapora göre saldırganlar önce açık üzerinden sunucuya bir PHP web kabuğu (webshell) yüklüyor, bu kabukla farklı dizinlere accesson.php adlı arka kapılar bırakıyor, ardından mağazanın içerik sayfalarına ve sabit bloklarına gizlenmiş bir JavaScript kodu ekliyor.

Sansec’in 24 Ekim’de yayımladığı yeni rapora göre bu kod, Temmuz 2025’ten beri izlenen ve şimdiye kadar 953 mağazayı, çoğunlukla Magento mağazalarını etkileyen bir kampanyanın parçası. Grup birkaç ayda bir yeni bir alan adına geçiyor. Beşinci alan adı deepveindrilling.com 6 Ekim’de kaydedildi ve 83 mağazada bulundu. Bu mağazaların 60’ı grubun önceki yükleyicilerinden birini zaten çalıştırıyordu.

Mağazaya eklenen kod, ziyaretçinin tarayıcısına saldırganın sunucusundan ne yapacağını sorduruyor. Sunucu önce ziyaretçinin gerçek bir müşteri mi yoksa bir güvenlik tarayıcısı mı olduğunu kontrol ediyor ve güvenlik tarayıcılarına hiçbir şey göndermiyor. Sansec son aşamada gönderilen zararlı kodu henüz ele geçiremedi. Sansec’in izleme hizmetine göre 12 Aralık 2025’te, ele geçirilmiş bir mağazada oturum açmış bir müşterinin tarayıcısına manulfie.click’ten gelen bir kod, önce crypto-insider.top’tan, beş dakika sonra da kripto para cüzdanı markası Ledger’ın adının yanlış yazılmış hali olan leqdger.click’ten kod yükledi.

Sansec’in eComscan aracı, bu yükleyiciyi en az bir çekirdek yaması eksik olan 169 Magento 2 kurulumunda buldu. Bunların 102’sinde PolyShell ya da SessionReaper (CVE-2025-54236) açığı üzerinden yüklenmiş dosyalar da vardı. Sansec’e göre yamalı mağazalara da yükleyici eklenebiliyor. Hiçbir çekirdek yaması eksik olmayan bir mağazaya yükleyici 23 Ekim’de eklendi. eComscan bu mağazada eylül ayında sahte bir yönetici hesabı ve bir arka kapı bulmuştu.

Etkilenen ve düzeltilmiş sürümler

• Adobe Commerce: 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 ve öncesi. Düzeltilmiş sürümler 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul ve 2.4.4-2026-jul.
• Adobe Commerce B2B: 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 ve öncesi. Düzeltilmiş sürümler 1.5.3-2026-jul, 1.5.2-2026-jul, 1.4.2-2026-jul, 1.3.4-2026-jul ve 1.3.3-2026-jul.
• Magento Open Source: 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 ve öncesi. Düzeltilmiş sürümler 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul ve 2.4.6-2026-jul.
• Adobe Commerce Events: 1.6.0 ile 1.20.0 arası. Düzeltilmiş sürüm 1.21.0.

Önerilen önlemler

1. APSB26-73 güncellemesini uygulayın. Sansec, SessionReaper için de APSB25-88 güncellemesinin uygulanmasını öneriyor.
2. Sansec’e göre bu kodu yükleyen bir mağazada saldırgan veritabanına yazabiliyor ve kodu silmek bu erişimi kaldırmıyor. Bu yüzden cms_block ve cms_page tablolarında fpCode, se_referrer ve localStorage.getItem ifadelerini arayın. Alan adları çoğu zaman base64 ile kodlandığı için Sansec alan adı yerine bu kod kalıplarının aranmasını öneriyor.
3. pub/media/custom_options/ ve pub/media/customer_address/ dizinlerinde beklenmeyen dosya olup olmadığını, sunucuda accesson.php adlı bir dosya bulunup bulunmadığını kontrol edin.
4. Yönetici hesapları arasında tanımadığınız bir hesap olup olmadığını kontrol edin.
5. Temizlikten sonra veritabanı, yönetici ve API entegrasyonu parolalarını değiştirin.