Magento ve Adobe Commerce'daki Kritik Güvenlik Açığı Hızla Yayılabilir

Magento ve Adobe Commerce platformlarında bulunan ve CVE-2026-103849 koduyla tanımlanan kritik bir güvenlik açığı, hackerların mağaza sunucularında rastgele PHP kodu çalıştırmasına olanak tanıyabilir.

E-ticaret güvenliği alanında faaliyet gösteren Sansec, bu açığın henüz aktif olarak istismar edilmediğini, ancak tehdit aktörlerinin bunu kullanmanın yollarını bulmasının beklendiğini belirtti. Araştırmacılar, bu açığın potansiyel dört saldırı yolunu 24 saat içinde tespit etti.

Açık, Adobe Commerce'in Eylül ayı sürümleri ve Magento Open Source'un 2.4.9 sürümü ile Adobe Commerce B2B'nin 1.5.3 sürümünü etkilemektedir. Sansec, Adobe'nin bu açığa verdiği "öncelik 2" derecelendirmesinin, durumun ciddiyetini ve aciliyetini yansıtmadığını ifade etti.

Sansec, "Saldırı yolu karmaşık, ancak bir AI ajanına sahip olan herkes, yamanın tersine mühendisliğini yaparak çalışır hale getirilmiş istismarlar geliştirebilir," açıklamasında bulundu. Ayrıca, "BlockStrap, StyleSmuggler düzeltmesinde bırakılan bir açığı ortaya çıkarıyor," dedi.

Adobe'nin 13 Ekim'de yayımladığı bültende, açığın şablon motorunda kullanılan özel unsurların uygun şekilde nötralize edilmemesi nedeniyle rastgele kod yürütülmesine yol açtığı belirtildi. Sansec, BlockStrap'ın, saldırganların kontrolündeki içeriğin bir çocuk e-posta şablonunda imzalanarak kök seviyede yeniden işlenmesine olanak tanıdığını açıkladı.

Sansec, basit bir Composer yüklemesinin riski gidermek için yeterli olmadığını, web sitesi yöneticilerinin 2026-oct sürümünü veya Adobe'nin izole yamasını uygulamaları gerektiğini vurguladı. "BlockStrap ve StyleSmuggler ayrı düzeltmelerdir. İkisini de uygulamanız gerekiyor, bu yüzden Eylül ayındaki VULN-39341 düzeltmesini de yerinde tutun," diye uyardı.

Sansec, toplu saldırı dalgalarını tespit ettiğinde güncelleme sağlayacağını, bu dalgaların yakında gerçekleşeceğini öngördüğünü belirtti. Genel önleme puanlarının, ilk erişimden sonra ne olduğunu gizleyebileceğini ifade eden Sansec, bir kez saldırganlar geçerli kimlik bilgileriyle sisteme girdiğinde önlemenin keskin bir şekilde düştüğünü vurguladı.