Adobe Commerce PolyShell Saldırıları Yüzlerce Mağazayı Etedi: Brotli Açığı Trafği Ortaya Çıktı.

Zafiyet / Web Güvenliği

Görsel Kaynağı: The Hacker News

Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), saldırganların aktif olarak sömürdüğüne dair kanıtlara dayanarak, Adobe Commerce ve Magento ile Google’ın Brotli kod çözücü kütüphanesini etkileyen iki zafiyeti, Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi.

Zafiyetler aşağıda listelenmiştir –

• CVE-2026-111497 (CVSS puanı: 9.2) – Google Brotli’de kontrol edilmemiş bir dönüş değeri zafiyeti; uzak, kimlik doğrulaması yapmayan bir saldırganın komşu kod çözücü durum belleğini bozmasına, hassas bellek içeriğini ifşa etmesine, hizmet dışına çıkarmaya veya uydurma Brotli ile sıkıştırılmış bir akış kullanarak rastgele kod çalıştırmasına yol açabilir.
• CVE-2026-48356 (CVSS puanı: 9.3) – Adobe Commerce ve Magento’da tehlikeli türde bir dosyanın sınırsız olarak yüklenmesine izin veren zafiyet; geçerli kullanıcının bağlamında rastgele kod çalıştırılmasına, potansiyel olarak mağdurun hesabı veya oturumu üzerinde yükseltilmiş erişim veya denetim sağlanmasına neden olabilir.

Gelişme, Sansec’in birkaç gün önce CVE-2026-48356’yı, yani PolyShell’i kullanarak yüzlerce e-ticaret mağazasına sızıp bir Magento CMS bloğu aracılığıyla kötü amaçlı bir yükleyici enjekte ettiğini gözlemesinin ardından geldi.

Yükleyici, saldırganın kontrolündeki bir yükü çekip çalıştırmak üzere tasarlanmıştır; ancak tarihin şu anına kadar bir sonraki aşama kötü amaçlı yazılımı geri alınmadığı için kampanyanın kesin hedeflerinin ne olduğu belirlemek zorlaşmaktadır. Etkinliğin en az Temmuz 2025’ten beri sürdüğü değerlendirilmektedir.

CVE-2026-111497 (yani Broccoli2Shell, HTTP2Shell ve Node2Shell) için ise tehdit istihbarat şirketi Previdian’dan alınan telemetri verileri, 27 Ekim 2026 itibarıyla Amerika Birleşik Devletleri merkezli bir IP adresinden honeypot sensörlerine kaydedilen bir sömürme girişiminin olduğunu göstermektedir. Bu çalışmaların kapsamlı olup olmadığı şu an için bilinmemektedir.

“Brotli verisini uygulamanın node:zlib ile sıkıştırmayı açtığı bir saldırıda saldırgan işlem belleğini bozabilir,” dedi Rapid7. “Node.js’e göre bu bozulma bir işlemin çökmesine, hassas işlem belleğinin ifşa edilmesine veya uzaktan kod çalıştırılmasına yol açabilir. Dolayısıyla ifşa olma durumu, bir uygulamanın saldırgan kontrolündeki sıkıştırmış veriyi etkilenen çözücüye geçirip geçirmedigine bağlıdır.”

ELLIO da Pazartesi günü sensörlerinin “canlıda CVE-2026-111497 exploit trafiğini kaydettiğini” ve “kabul edilen kabuk (shell) elde eden halka açık exploit’i taşıdığını” bildirdi. Etkinlik, “94.154.43[.]7” adresinden, aynı zamanda PHP2Shell’i hedef alan ve kimliksiz uzaktan kod çalıştırılmasına yol açabilecek iki kritik açık olan PHP’ye yönelik sömürü çalışmalarında da yer almış, Hollanda’ya konumlandırılmış bir IP adresinden geliyor.

“Saldırganın yükü, node v24.22.0 için gerçek, doğru yapılandırılmış bir Node2Shell sömürü girişimidir – Brotli akışı, sahnelenmiş yer değiştirme, pivot çifti ve teslimatın hepsi doğru ve halka araç setiyle özdeşidir,” dedi ELLIO. “Bu, RCE’in kitlesel sömürüye odaklanan bir operatör tarafından benimsendiğine işaret ediyor.”

Brotli’nin yaygın şekilde dağıtılan açık kaynaklı bir kütüphane olması ve çok sayıda proje tarafından benimsenmesi acil bir tepki uyandırdı ve çeşitli üreticileri yama yayınlamaya veya ürünlerinin açığın etkisinde olup olmadığını değerlendirmeye yönlendirdi.

Buna, 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1 sürümlerini yayınlayan PHP’nin yanı sıra Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP Brotli eklentisi ve Ruby “brotli” gem’i de dahil. Bu uyarılardan bazılarının bağlantıları aşağıda verilmiştir –

• Amazon Linux
• Broadcom
• Bun
• Cisco
• Cloudflare
• CloudLinux
• Envoy Proxy
• F5
• Fortinet
• Imperva
• Istio
• Microsoft Azure
• Microsoft .NET
• Node.js
• Palo Alto Networks
• PHP
• Qualys
• Red Hat
• Safe Security
• Strapi
• Tanium
• Tenable
• Ubuntu
• Upwind

“Node.js, açığı 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde düzeltmiştir,” dedi Akamai. “Node.js uyarısı bir geçici çözüm sunmadığı için yükseltme, bu açının üstesinden gelmenin tek kesin yoludur. Durdurulmuş bir sürüm hattı çalıştıran kuruluşlar, desteklenen bir sürüm hattına geçmelidir.”

Google’a ait Wiz, “Bulut ortamlarının %91’i CVE-2026-111497’ye karşı savunmasız kaynaklar içeriyor ve bulut ortamlarının %82’si halka açık Node.js örneklerine sahip.” dedi.

“Node2Shell, her Node.js hizmetindeki bir hata değil, saldırganın etkilediği Brotli’i ayrıştıran hizmetlerdeki bir hata,” dedi Sysdig. “Varsayılan JSON ayrıştırması kullanan Express 5, bu grup içinde çok sayıda örnek bulunduruyor. Şu ana kadar gösterilen etki, ölçekli çökmeler ve dar bir yapılandırmada kod yürütme olduğundan, yama sıralaması erişilebilirliğe göre belirlenmelidir.”

Federal Sivil Yönetim Kolu (FCEB) kurumlarının, bu iki açığa karşı gerekli düzeltmeleri uygulaması için 10 Kasım 2026’ya kadar süresi var.

Bulut Güvenliği

Siber Saldırı

Yazılım Güvenliği

Açık

Web Güvenliği