CISA, aktif olarak istismar edilen Adobe Commerce ve Magento dosya yükleme açığı CVE-2026-48356'i KEV kataloğuna ekledi

CISA kataloğu Adobe Commerce ve Magento yükleme açığını istismar ediliyor olarak işaretledi

27 Ekim 2026'da CISA, dev.to üzerindeki bir yazıya göre CVE-2026-48356'i Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. Kayıt, Adobe Commerce ve Magento'yu kapsıyor ve hatayı sahada aktif olarak istismar ediliyor olarak işaretliyor. Federal kurumların harekete geçmesi için 2026-11-10 tarihine kadar süresi var ve CISA'nın bu açık için fidye yazılımı alanı Bilinmiyor olarak görünüyor; yani fidye yazılımı bağlantısı ne doğrulanmış ne de dışlanmış durumda.

Zafiyet neye imkân tanıyor

Açık, CWE-434 ile eşleştirilen, tehlikeli türde bir dosyanın kısıtlamasız yüklenmesi olarak sınıflandırıldı. Yazıda atıf yapılan NVD kaydına göre, başarılı bir istismar, mevcut kullanıcı yetkileriyle çalışan rastgele kod çalıştırmaya imkân tanıyabilir ve bir saldırgan yükseltilmiş erişim elde edebilir ya da mağdurun hesabını veya oturumunu ele geçirebilir. Bu sınıftaki yükleme hataları, genellikle bir sunucu saldırgan tarafından sağlanan bir dosyayı betiklerin çalıştığı web'den erişilebilen bir klasöre kaydettiğinde kod yürütmeye dönüşür — bir webshell senaryosu — ancak dev.to yazarı bu CVE için gerçek istismar yolunun kamuya açık olarak tanımlanmadığını vurguluyor.

Sürümler ve önem derecesi hâlâ belirsiz

Yazı, verilerinde etkilenen sürümlerin, düzeltilmiş sürümlerin, CVSS puanının ve saldırı adımlarına ilişkin ayrıntıların bulunmadığını açıkça belirtiyor ve bunlardan herhangi biri hakkında tahmin yürütmeyi reddediyor. Operatörler, güncel puanlama için NVD kaydına, etkilenen ve yamalanmış sürümlerin yetkili listesi için ise Adobe'un APSB güvenlik bülteni dizinine yönlendiriliyor. Yayınlanmış bir puanın olmaması düşük risk olarak yorumlanmamalı: CISA'nın KEV listesi, yalnızca gerçek dünyada istismar edildiğine dair kanıt bulunan açıklara ayrılmıştır.

Yamlama dağıtım şekline bağlı

Yazı, düzeltmeyi üç senaryoya ayırıyor:

• Lisanslı ve self-hosted Adobe Commerce: operatör Adobe'un yamasını veya azaltımını doğrudan uygular.
• Adobe'un bulut altyapısındaki Adobe Commerce: ortamın yama durumunu halledilmiş varsaymak yerine Adobe destekle doğrulayın.
• Magento Open Source: self-hosted kullananlar kendileri yamalar; hiçbir satıcı onlar yerine bunu yapmaz.

Yönetilen mağazalar, düzeltmenin uygulanıp uygulanmadığına ve hangi tarihte uygulandığına dair kurumlarından veya barındırıcısından yazılı teyit almalı; sık unutuldukları için staging ve test örnekleri de bu sorunun kapsamına girmelidir.

CISA ne gerektiriyor

CISA'nın gerektirdiği eylem, satıcı talimatlarına göre azaltımları uygulamak; kayıt ayrıca risk temelli güncelleme önceliklendirmesiyle ilgili BOD 26-04'e ve CISA'nın adli tıp triyaj kılavuzuna atıf yapıyor. Bulut hizmetleri için BOD'un bulut kılavuzu geçerlidir. Azaltım bulunmadığı durumlarda CISA'nın direktifi ürünü kullanmayı bırakmaktır. 10 Kasım son tarihi özel operatörleri değil ABD federal kurumlarını bağlıyor; ancak kısa süre, aktif saldırıları yansıtıyor ve makul bir iç hedef olarak hizmet ediyor.

Bugün yamalayamıyorsanız

Yazı, riski azaltan ama ortadan kaldırmayan geçici sertleştirme önlemleri öneriyor: web sunucusu düzeyinde medya ve yükleme dizinlerinde betik çalıştırmayı engelleyin, böylece yüklenen dosyalar sunulur ama asla çalıştırılmaz; yönetim paneli erişimini IP allowlist veya VPN ile kısıtlayın; yüklemeleri kapsayan web uygulaması güvenlik duvarı kurallarını gözden geçirin. Bunlar savunma derinliği önlemleridir ve Adobe'un düzeltmesinin yerine geçmez. Operatörler ayrıca daha önce ihlal edilmiş olabileceğine dair izleri aramalı — medya klasörlerindeki PHP dosyaları, açıklanamayan yönetici hesapları veya değişmiş roller, tanıdık olmayan cron işleri, yükleme uç noktalarına yapılan tuhaf POST istekleri veya enjekte edilmiş ödeme JavaScript'i — çünkü yamalama tek başına saldırganın çoktan yerleştirmiş olabileceği hiçbir şeyi ortadan kaldırmaz. Bir şey bulunursa, temizlik yapmadan önce logları ve disk kopyalarını koruyun.

Neden önemli

E-ticaret platformları ödeme akışlarının ve müşteri verilerinin üzerindedir; kod yürütmeye yol açan bir dosya yükleme açığı ise webshell'lere, ödeme kartı hırsızlayan kodlara ve tam mağaza ele geçirmeye giden doğrudan bir yoldur. KEV listesinde yer alması, saldırganların bunu zaten kullandığı anlamına gelir ve etkilenen taban, her biri farklı şekilde yamalanan lisanslı, bulut ve open source dağıtımlarını kapsar — bu da "bunu bir başkası halletmiştir" varsayımı yapan çok sayıda mağaza bırakır. Etkilenen sürümler ve önem derecesi puanı henüz yayınlanmadığından, en güvenli tutum, staging ve dev ortamları dahil her Commerce ve Magento örneğini envanter çıkarmak, yama durumunu Adobe ile teyit etmek ve yamalanmamış internete açık mağazaları açıkta olarak değerlendirmektir.