Adobe Commerce ve Magento'da dosya yükleme açığı: CVE-2026-48356

Adobe Commerce ve Magento ile çalışan mağazalar için kritik bir açık var: CVE-2026-48356 (CVE, ortak güvenlik açığı kayıt numarası demek). Açık, dosya yükleme işleminin tehlikeli türdeki dosyaları yeterince engellememesinden doğuyor. Adobe bu açığı temmuz 2026’da yayımladı. CISA ise ekim sonunda onu aktif istismar listesine aldı.

Kısa cevap: CVE-2026-48356, Adobe Commerce ve Magento Open Source’ta tehlikeli türde dosya yüklenmesine izin veren kritik bir açık (CWE-434). NVD’de CVSS 9.3 puanı var ve CISA bu açığı aktif istismar edilenler listesine (KEV) eklemiş. Kimlik doğrulama gerekmiyor, ama kötü amaçlı bir sayfayla etkileşen bir kullanıcı gerekiyor. Adobe bu açık için geçici çözüm yayımlamadı; yapılacak tek şey 2026 temmuz düzeltme sürümlerinden birine geçmek.

Ne oldu?

Açığın türü CWE-434: “Unrestricted Upload of File with Dangerous Type”, yani tehlikeli türde bir dosyanın kısıtlanmadan yüklenmesi. Uygulama, yüklenen dosyanın ne olduğunu yeterince kontrol etmediğinde, sunucuya çalıştırılabilir bir dosya bırakılabilir. NVD açıklamasına göre bu durum, mevcut kullanıcının bağlamında kod çalıştırmaya yol açabiliyor ve saldırganın hesabın ya da oturumun kontrolünü ele geçirmesine izin verebiliyor. Etkinin büyüklüğü, yükleme alanlarının nasıl yapılandırıldığına ve yönetici paneline kimlerin eriştiğine de bağlı; bu yüzden sürüm kontrolünün yanında bu ayarları da gözden geçir.

Açık eski, ama saldırılarda kullanıldığı yakın zamanda doğrulandı. CVE 14 Temmuz 2026’da yayımlandı, CISA onu 27 Ekim 2026’da KEV listesine ekledi. CISA’nın fidye yazılımı kampanyalarında kullanımına dair bilgisi “Unknown” olarak işaretli; yani bu konuda elimizde doğrulanmış bir bilgi yok.

Kimler etkileniyor?

Özellik	Bilgi
CVE	CVE-2026-48356
Etkilenen ürünler	Adobe Commerce, Magento Open Source
Etkilenen sürümler	Adobe Commerce: 2.4.9; 2.4.8-p5 ve önceki; 2.4.7-p10 ve önceki; 2.4.6-p15 ve önceki; 2.4.5-p17 ve önceki; 2.4.4-p18 ve önceki. Magento Open Source: 2.4.9; 2.4.8-p5 ve önceki; 2.4.7-p10 ve önceki; 2.4.6-p15 ve önceki
Düzeltilen sürümler	Adobe Commerce: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul, 2.4.5-2026-jul, 2.4.4-2026-jul. Magento Open Source: 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul
CVSS	9.3, kritik (NVD). Adobe bülteninde aynı açık 9.6 olarak yazılı
Zayıflık türü	CWE-434
Kimlik doğrulama	Gerekmiyor (Adobe bülteni)
NVD yayın tarihi	14 Temmuz 2026
CISA KEV’e eklenme	27 Ekim 2026
CISA son tarihi	10 Kasım 2026
Adobe bülteni	APSB26-73, öncelik 2

Bu tabloda olmayan eski sürümler için yazıda bilgi vermiyorum. Adobe bülteninde B2B ve Events bileşenleri de listeli; onların sürümleri için bültenin ilgili tablosuna bak.

Ne yapmalısın?

1. Sürümünü öğren. Mağaza kök dizininde bin/magento --version komutunu çalıştır.
2. Sürümün yukarıdaki etkilenen aralıklardan birindeyse, Adobe’nin 2026 temmuz düzeltme sürümüne geç. Güncellemeden önce dosyaların ve veritabanının tam yedeğini al.
3. Güncelleyemiyorsan, Adobe bülteni geçici çözüm vermiyor. CISA’nın KEV kaydı, mitigasyon yoksa ürünün kullanımına son verilmesini öneriyor. Bu her mağaza için gerçekçi olmayabilir, ama riskin ne kadar ciddi olduğunu gösterir.
4. Yükleme dizinlerini kontrol et. Özellikle pub/media altında beklenmeyen uzantılı, çalıştırılabilir dosya var mı bak.
5. Yönetici hesaplarını gözden geçir. Tanımadığın bir hesap görürsen, sunucuyu değiştirmeden önce logları kopyala.
6. Şüphede kalırsan, güncellemeyi ertelemeden bir güvenlik uzmanına danış. Sunucunun loglarını ve dosya listesini saklamak, sonradan ne olduğunu anlamak için önemlidir.

Sık sorulan sorular

Beni etkiliyor mu?

Sürümün tablodaki etkilenen aralıklardan birindeyse evet. Önce bin/magento --version ile sürümünü kontrol et. Tabloda olmayan sürümler için bu yazı bilgi vermiyor; Adobe bültenine bak.

CVSS puanı 9.3 ise, 9.6 olması ne değiştiriyor?

Puan iki kaynakta farklı, ama ikisi de kritik seviyede. Asıl önemli olan, açığın CISA KEV listesinde olması: aktif istismar belgeli. Puanın farkı, güncelleme kararını değiştirmez.

Hemen güncelleyemezsem ne yapmalıyım?

Adobe geçici çözüm yayımlamadığı için bekleme süresini kısa tut. Bugün güncelleme planını yap, yedeğini al ve yükleme dizinlerini kontrol et. Bu süre içinde şüpheli bir dosya görürsen destek al.

Kaynaklar

• NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-48356
• CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Adobe güvenlik bülteni APSB26-73: https://www.adobe.com/trust/security/products/commerce/apsb26-73.html

Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Mağazan için güncelleme ve güvenlik bakımı istersen teklif formu üzerinden bana ulaşabilirsin.