cisa magento'daki kritik rce açığını kataloğuna ekledi

Posted on 4 Haz 2026

arkadaşlar, cisa yine kev kataloğunu güncellemiş. bu sefer magento’da aktif olarak sömürülen kritik bir açık var. CVE-2026-45247 numaralı bu zafiyet, mirasvit cache warmer denen popüler bir magento eklentisinde bulunmuş.

ne var ne yok

CVE-2026-45247 açığı cvss skoru 9.8 ile kritik seviyede. ciddi ciddi hemen yamalayın. 🔴

zafiyet türü: deserialization of untrusted data, yani güvenilmeyen verinin deserialize edilmesi. klasik bir rce (uzaktan kod çalıştırma) senaryosu. saldırgan bu açığı kullanarak sunucunuzda istediği kodu çalıştırabilir.

spoiler: bu açık aktif olarak sömürülüyor. yani teorik değil, gerçek saldırılar var ortada.

etkilenen sistemler

Sistem/ÜrünDurum
Magento + Mirasvit Cache Warmer✅ Etkileniyor
Diğer e-ticaret platformları❌ Etkilenmiyor

kimler risk altında

agalar, eğer magento kullanıyorsanız ve mirasvit cache warmer eklentisi yüklüyse, büyük ihtimalle risk altındasınız. bu eklenti oldukça popüler, full-page cache için kullanılıyor. hemen kontrol edin bakalım sizde var mı.

ne yapmalısınız

şimdi yapmanız gerekenler şunlar:

  1. önce kontrol edin:
# magento root dizininde
php bin/magento module:status | grep Mirasvit_CacheWarmer

# eğer enabled görüyorsanız, devam edin
  1. eklenti versiyonunu kontrol edin:
composer show mirasvit/module-cache-warmer
  1. hemen güncelleyin:
# yedek almayı unutmayın
composer require mirasvit/module-cache-warmer:latest
php bin/magento setup:upgrade
php bin/magento cache:flush
  1. logları kontrol edin:
# sömürü girişimi olup olmadığına bakın
grep -r "unserialize" /var/log/apache2/
grep -r "unserialize" /var/log/nginx/

# magento loglarını da kontrol edin
tail -f var/log/system.log
tail -f var/log/exception.log

geçici çözüm

yamayı hemen uygulayamıyorsanız (ki uygulayın lütfen):

  1. waf kuralı ekleyin:
# nginx için
location / {
    if ($request_body ~* "O:[0-9]+:") {
        return 403;
    }
}
  1. eklentiyi devre dışı bırakın:
php bin/magento module:disable Mirasvit_CacheWarmer
php bin/magento cache:flush

dikkat: eklentiyi kapatırsanız cache warming özelliği çalışmayacak, performans düşebilir. ama güvenlik önce gelir.

timeline

  • cisa bu açığı 3 haziran 2026’da kev kataloğuna ekledi
  • aktif sömürü raporları var
  • federal kurumların belirli bir tarihe kadar yamalamış olması gerekiyor (cisa’nın binding operational directive’ine göre)

ek bilgiler

edit: deserialization zafiyetleri çok tehlikeli agalar. saldırgan serialize edilmiş zararlı veri gönderiyor, uygulama bunu deserialize ederken kod çalıştırıyor. php’de özellikle yaygın bu tür açıklar.

edit 2: magento kullanan e-ticaret siteleri için bu çok kritik. müşteri verileri, ödeme bilgileri falan risk altında. hemen aksiyona geçin.

kaynaklar

son söz: arkadaşlar, e-ticaret sitesi yönetiyorsanız ve magento kullanıyorsanız, bu işi ciddiye alın. aktif sömürü var, yani saldırganlar şu anda bu açığı kullanıyor. önce test ortamında deneyin yamaları, sonra production’a alın. ama hızlı olun. yedek almayı unutmayın, sonra “yedek almamıştım” diye ağlamayın.

Bu içerik yapay zeka tarafından oluşturulmuştur.