Adobe, Magento ve Adobe Commerce’in çeşitli sürümlerini etkileyen, CVE-2026-75650 kodlu kritik bir sıfırıncı gün güvenlik açığı için acil bir düzeltme yayımladı. StyleSmuggler adı verilen güvenlik açığı, en az 4 Eylül 2026’dan bu yana savunmasız e-ticaret sitelerine arka kapılar yerleştirmek amacıyla gerçek saldırılarda istismar ediliyor.
E-ticaret güvenliği şirketi Sansec faaliyeti tespit ederken Adobe, güvenlik açığını en yüksek önem düzeyinde sınıflandırdı ve istismarının rastgele kod yürütülmesine yol açabileceğini açıkladı. Şirket, CVE-2026-75650’nin test ortamları dışında istismar edildiğini bildiği için VULN-39341 acil düzeltmesinin derhâl kurulmasını önerdi.
Etkilenen sürümler
Adobe’un belirlediği etkilenen sürümler şunları içeriyor:
- Her dalda Ağustos 2026 sürümleri ve öncesi dâhil olmak üzere 2.4.4 ile 2.4.9 arasındaki Adobe Commerce sürümleri.
- Her dalda Ağustos 2026 sürümleri ve öncesi dâhil olmak üzere 1.3.3 ile 1.5.3 arasındaki Adobe Commerce B2B sürümleri.
- Her dalda Ağustos 2026 sürümleri ve öncesi dâhil olmak üzere 2.4.6 ile 2.4.9 arasındaki Magento Open Source sürümleri.
İhlal göstergeleri ve saldırganların yöntemleri
Arka kapılardan biri komuta ve kontrol sunucusunu sıradan bir NTP (Ağ Zaman Protokolü) sunucusu gibi gizledi; ancak Sansec, ele geçirilmiş sistemlerde “Payment Transaction Failed Reminder” başlıklı e-posta iletileri de dâhil olmak üzere açık göstergeler tespit etti.
Sansec, ilk raporuna yaptığı güncellemede farklı araçlar kullanan ikinci bir saldırganın güvenlik açığını istismar ederek 485 bayt boyutunda PHP web shell’i yayımladığını söyledi. Bu dosya sunucu hakkında temel ayrıntıları topluyor, pub/media yolunun yazılabilir olup olmadığını kontrol ediyor ve ardından verileri, genellikle açık kaynaklı Interactsh aracını kullanan güvenlik testleriyle ilişkilendirilen oast.site alt alan adına yapılan istekler üzerinden sızdırıyor.
Mağaza yöneticileri açısından pratikte ne değişiyor?
Yanıt yalnızca düzeltmenin kurulmasıyla sınırlı değil. Adobe, düzeltme uygulandıktan sonra bakım modunun etkinleştirilmesini ve cron görevlerinin duraklatılmasını, ardından yönetici parolaları, GraphQL entegrasyon belirteçleri, OAuth istemci sırları, ödeme ağ geçidi kimlik bilgileri, veritabanı kimlik bilgileri, SSH anahtarları ve API anahtarları dâhil tüm sırların döndürülmesini öneriyor. Döndürme tamamlandıktan sonra önbellek temizlenmeli, cron yeniden başlatılmalı ve ardından bakım modu devre dışı bırakılmalıdır.
Haberin önemi üç faktörün bir araya gelmesinden kaynaklanıyor: en yüksek önem derecesine sahip bir güvenlik açığı, etkin istismar ve sipariş verileri ile ödeme işlemlerini yöneten platformlara olası erişim. Bu nedenle, site zaten ele geçirilmişse kimlik bilgilerinin sızmış olabileceği varsayılmadan yalnızca sistemi güncellemek pratikte yeterli olmayabilir.
Dikkate alınması gereken operasyonel kısıtlamalar da bulunuyor; Adobe, düzeltmeyi resmî olarak yalnızca etkilenen dalların Ağustos 2026 sürümleriyle test etti ve diğer sürümlerle çalışmasının mümkün olduğunu ancak uyumluluğun doğrulanmadığını söyledi. Ayrıca kaynak, ele geçirilen sitelerin sayısının kapsamını veya saldırganların kimliğini belirtmiyor; bu da günlüklerin, dosyaların ve ihlal göstergelerinin incelenmesini güncellemenin yanı sıra gerekli bir adım hâline getiriyor.