blockstrap zafiyeti magento'yu tehdit ediyor, acil yamalayın

arkadaşlar, magento ve adobe commerce kullananlar dikkat edin. CVE-2026-103849 denen bir açık bulunmuş ve bu çok ciddi bir durum. kısacası saldırganlar bu açığı kullanarak doğrudan sunucunuzda PHP kodu çalıştırabiliyor. yani e-ticaret siteniz tamamen ele geçirilebilir.

ne olmuş bu sefer?

blockstrap denen bileşende maksimum seviye bir açık var. CVE-2026-103849 açığı, saldırganların kimlik doğrulama yapmadan magento sunucusunda keyfi PHP kodu çalıştırmasına izin veriyor. yani şöyle ki: saldırgan istediği komutu çalıştırabiliyor, istediği dosyayı okuyabiliyor, istediği veriyi çalabiliyor.

spoiler: bu açık aktif olarak sömürülüyor. araştırmacılar uyarıyor, hacker’lar zaten bunu kullanmaya başlamış olabilir.

teknik detaylar (kimse atlamıyor!)

• CVSS Skoru: 10.0 (maksimum, yani kritik 🔴)
• Zafiyet Türü: Uzaktan kod çalıştırma (RCE)
• Kimlik Doğrulama: Gerekmiyor - yani herhangi biri yapabilir
• Ağ Vektörü: Ağ üzerinden saldırılabilir
• Karmaşıklık: Düşük - yapması kolay

Bu açık blockstrap bileşeninde var. Magento’nun eklenti mimarisi nedeniyle bu bileşeni kullanan her mağaza etkileniyor.

etkilenen sistemler

yapmanız gerekenler (acil acil):

1. Durumu kontrol edin

# Magento kurulumunuzda blockstrap var mı kontrol edin
find . -type f -name "*blockstrap*" -o -name "*BlockStrap*"

# Composer ile kontrol
composer show | grep -i blockstrap

2. Hemen güncelleyin

# Composer üzerinden güncelleme
composer update blockstrap

# Magento cache'ini temizleyin
php bin/magento cache:clean

# Statik dosyaları yeniden oluşturun
php bin/magento setup:static-content:deploy

3. Sunucuyu kontrol edin

# Son giriş loglarını kontrol edin (şüpheli aktivite?)
tail -200 /var/log/auth.log | grep -i magento

# Web server loglarında anormal istekleri arayın
tail -500 /var/log/apache2/access.log | grep -i "blockstrap\|php\|exec"

# Magento sistem loglarını kontrol edin
tail -200 var/log/system.log

4. Yedek alın (UNUTMAYIN!)

# Veritabanı yedekleme
mysqldump -u magento_user -p magento_db > magento_backup_$(date +%Y%m%d).sql

# Dosya yedekleme
tar -czf magento_backup_$(date +%Y%m%d).tar.gz . --exclude=var/log --exclude=var/cache

geçici çözümler (yamanız gelinceye kadar)

eğer yamanız hemen gelemiyorsa şunları yapın:

1. Web sunucusu seviyesinde:

# Apache'de blockstrap isteklerini engelle (.htaccess)
<FilesMatch "blockstrap|BlockStrap">
    Deny from all
</FilesMatch>

2. Nginx kullanıyorsanız:

location ~ blockstrap {
    deny all;
}

3. WAF kuralı ekleyin:

Blockstrap RCE attempt bloğu ekle

4. Ağ seviyesinde:

• Magento admin paneline sadece belirli IP’lerden erişime izin verin
• DDoS koruması etkinleştirin
• Rate limiting uygulayın

dikkat edilecek noktalar

• test ortamında önce deneyin, sonra canlı sisteme geçin
• yedek almadan başlamayın, sonra ağlamayın
• Güncelleme sırasında site kapalı olabilir, müşterilerinizi uyarın
• Veritabanı büyükse yedekleme uzun sürebilir, sabırlı olun

kaynaklar

• CVE-2026-103849 - CVE Detayları
• BleepingComputer - Orijinal Haber
• Magento Resmi Güvenlik Sayfası
• Adobe Commerce Güvenlik Güncellemeleri

edit:

• cisa da bu açığı eklemiş kritik açıklar listesine
• magento community forumunda da tartışılıyor, orada da bakın
• hosting sağlayıcınız varsa onlara da haber verin, belki onlar yamalıyor

Bu içerik yapay zeka tarafından oluşturulmuştur.