Magento BlockStrap CVE-2026-103849: CVSS 10 Kimlik Doğrulamasız RCE ve Yama Rehberi

Selam arkadaşlar,

E-ticaret tarafında çalışan, müşterisinin mağazasını yöneten ya da kendi Magento kurulumunu ayakta tutan herkesin bu hafta takvimini boşaltması gereken bir haber var. Adobe, 13 Ekim'de yayımladığı APSB26-153 bülteniyle Magento Open Source ve Adobe Commerce'te CVSS 10.0 puanlı bir açığı kapattı. Sansec ekibi açığa BlockStrap adını verdi ve yamanın yayımlanmasından sonraki 24 saat içinde dört ayrı kod çalıştırma yolunu yeniden üretebildiklerini söylüyor. Henüz canlı mağazalarda sömürü görülmedi ama Sansec'in tahmini net: uzun sürmez.

Konuda Anlatılacaklar

1. BlockStrap nedir, neden bu kadar ciddi?
   
2. Etkilenen ürün ve sürümler
   
3. StyleSmuggler bağlantısı ve "iki ayrı yama" meselesi
   
4. Adobe'nin "öncelik 2" derecelendirmesi neden tartışılıyor?
   
5. Yamanın gerçekten uygulandığını nasıl doğrularsınız?
   
6. Open Source 2.4.6 ve Mage-OS kullananlar için notlar
   
7. Kaynaklar
   

BlockStrap Nedir?

Adobe bültenindeki teknik tanım şöyle: "Şablon motorunda kullanılan özel öğelerin hatalı nötralize edilmesi" (CWE-1336). Etkisi keyfi kod çalıştırma, kimlik doğrulama gerektirmiyor, CVSS vektörü AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Yani internetten erişilebilen, oturum açmayı gerektirmeyen ve sunucunun tamamen ele geçirilmesine kadar giden bir senaryo.

Sansec'in açıklamasına göre BlockStrap, Magento'nun e-posta şablon motorunda ikinci geçişte gerçekleşen bir direktif enjeksiyonu. Kabaca anlatmak gerekirse: Eylül ayındaki düzeltme güvenilir direktifleri imzalıyordu; ancak saldırganın kontrol ettiği veri bir alt şablonun içinde yer aldığında bu veri de imzalanıp kök seviyede yeniden taranabiliyor. Bu sırada içeri kaçırılan bir {{block}} direktifi Magento'nun render sürecinde çalışıyor. Sonuç, mağaza sunucusunda saldırganın istediği PHP kodunun çalışması.

Adobe'nin ekim yaması bu genel yeniden tarama mantığını kaldırıp yerine kayıtlı yer tutucular (registered placeholders) koyuyor. Mantıklı bir çözüm; sorunun kökü zaten "aynı içeriği ikinci kez yorumlamak".



Etkilenen Sürümler

Adobe bülteninde listelenen etkilenen sürümler (hepsi "2026-sep ve öncesi" seviyesinde):

• Adobe Commerce: 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5, 2.4.4
  
• Adobe Commerce B2B: 1.5.3, 1.5.2, 1.4.2, 1.3.4, 1.3.3
  
• Magento Open Source: 2.4.9, 2.4.8, 2.4.7, 2.4.6
  

Düzeltilmiş sürümler 2.4.10-alpha1 ve her dal için "2026-oct" seviyesindeki güncellemeler; B2B için 1.5.4-alpha1 ve ilgili 2026-oct paketleri.

Aynı bültende başka kritik açıklar da var. Örneğin B2B modülünü etkileyen ve CVSS 9.8 alan CVE-2026-92909 (hatalı yetkilendirme, kimlik doğrulamasız kod çalıştırma) ile CVSS 9.3 alan iki stored XSS açığı (CVE-2026-91013 ve CVE-2026-100133). Kısacası bu bülten "sadece BlockStrap" diye geçiştirilecek bir güncelleme değil.

StyleSmuggler Bağlantısı: İki Ayrı Yama Gerekiyor

Konunun en çok gözden kaçacak kısmı burası. Eylül ayında Adobe, aynı e-posta şablon motorundaki StyleSmuggler açığı (CVE-2026-75650) için VULN-39341 numaralı bir hotfix yayımlamıştı. Sansec'e göre BlockStrap, o düzeltmenin bıraktığı boşluktan yararlanıyor.

Adobe bülteninde açıkça şu yazıyor: CVE-2026-75650 hotfix'i, bu bültendeki güncellemelere ek olarak uygulanmalı. Sansec de aynı şeyi vurguluyor; ekim yaması VULN-39341'i içermiyor ve Adobe'nin yama kayıt sistemi bunu ön koşul olarak listelemiyor. Yani:

Alıntı:Eylül hotfix'ini kurmadan sadece ekim yamasını uygularsanız StyleSmuggler açık kalır. Sadece eylül hotfix'iyle kalırsanız BlockStrap açık kalır. İkisi birden gerekli.

Bir de şu ayrıntı var: düz bir Composer kurulumu hâlâ zafiyetli temel sürümü getiriyor. "2026-oct" sürümüne geçmeniz ya da Adobe'nin izole yamasını uygulamanız gerekiyor.

"Öncelik 2" Tartışması

Adobe bu bülteni öncelik 2 olarak işaretledi; bu da "30 gün içinde yamayın" anlamına geliyor. Adobe'nin bültende belirttiği gibi, yayım anında vahşi doğada bilinen bir istismar yoktu. Sansec'in aktardığına göre Adobe, öncelik 1'i bilinen sömürü olan açıklara ayırıyor.

Sansec bu derecelendirmeye itiraz ediyor. Gerekçeleri iki cümlede özetlenebilir: Saldırı yolu karmaşık olsa da yamayı tersine mühendislikle çözüp çalışan istismara çevirmek artık yapay zeka destekli araçlarla kısa sürüyor. Üstelik benzer karmaşıklıktaki StyleSmuggler, öncelik 1 hotfix'ten toplu sömürüye üç günde geçmişti. Bence burada Sansec'e hak vermemek zor; CVSS 10 ve kimlik doğrulamasız bir RCE için 30 günlük pencere fazla rahat.

Yamanın Uygulandığını Doğrulama

Sansec'in paylaştığı kontroller oldukça pratik. Deploy süreci "hatasız tamamlandı" dese bile koda bakmanızı öneriyorlar, çünkü Composer yama eklentileri bir parçayı build'i bozmadan atlayabiliyor; patch ... || true gibi komutlar kullanan deploy betikleri de başarısız parçaları sessizce yutuyor.

Magento kök dizininde BlockStrap düzeltmesinin varlığını kontrol etmek için:
Çıktı 0 ise BlockStrap düzeltmesi yok demektir. Mage-OS kullanıyorsanız yol farklı:

StyleSmuggler hotfix'inin durumunu görmek için:

13 Ekim'de 2.4.8-p5 yamasını uygulayanlar için ek bir not: Sansec'e göre her iki 2.4.8-p5 yama sürümü de BlockStrap düzeltmesini içeriyor, ancak ilk sürüm aynı bültendeki CVE-2026-91013 için gereken bir değişikliği dışarıda bırakmış. Kontrol:
Sonuç 0 ise 248p5-2026-10-002-CE yamasını uygulamanız gerekiyor.

Yamadan sonra Magento kök dizininde 976bc24c... ile başlayan boş bir dosya görürseniz paniğe gerek yok. Sansec'e göre bu, yamanın yanlışlıkla oluşturduğu bir kilit dosyası; silebilir ya da .gitignore'a ekleyebilirsiniz.



Open Source 2.4.6 ve Mage-OS Kullananlar

Sansec'in açıklamasına göre Adobe'nin herkese açık ekim yamaları Magento Open Source 2.4.7-p10, 2.4.8-p5 ve 2.4.9 için var. 2.4.4-p18, 2.4.5-p17 ve 2.4.6-p15 yamaları Adobe Commerce lisansı gerektiriyor. Yani Open Source 2.4.6 veya daha eskisini kullanan mağazaların 2.4.7-p10 ya da üstüne yükseltme yapması gerekiyor. Adobe bu sürümlerin indirme bağlantılarını ka-49323 numaralı KB makalesinde listeliyor.

Mage-OS tarafında 3.5.0'a kadar olan sürümler etkileniyor; 14 Ekim'de yayımlanan Mage-OS 3.6.0 Adobe'nin düzeltmesini içeriyor. Düzeltme framework'ü ve dört modülü değiştirdiği için metapaketi güncellemek gerekiyor:

Bir de log incelerken yanılmayın: Sansec, registerUndefinedFilterCallback içeren Twig payload'larının BlockStrap olmadığını, Magento'nun Twig kullanmadığını not ediyor. bxss.me geri çağrısı içeren istekler de Acunetix tarayıcısından geliyor.

Ne Yapmalı? (Kısa Liste)

• APSB26-153 güncellemelerini ya da izole yamayı bugün uygulayın, 30 günü beklemeyin.
  
• Eylül VULN-39341 (CVE-2026-75650) hotfix'inin yerinde olduğunu ayrıca doğrulayın.
  
• Yukarıdaki grep kontrolleriyle yamanın gerçekten koda girdiğini teyit edin.
  
• Open Source 2.4.6 ve öncesindeyseniz 2.4.7-p10 veya üstüne yükseltme planını hemen başlatın.
  
• Mağaza dizinlerinde son haftalarda değişmiş PHP dosyalarını ve beklenmedik admin hesaplarını gözden geçirin.
  

Sansec, toplu saldırı dalgası görmeleri halinde makalesini güncelleyeceğini söylüyor. Bu konuyu da gelişme olursa güncellemeye çalışacağım. Magento yöneten arkadaşlar, yamayı uygularken StyleSmuggler hotfix'iyle çakışma yaşadınız mı? Sansec, hotfix yerindeyken Preview.php ve AbstractTemplate.php için satır kayması uyarısı çıktığını ama parçaların yine de uygulandığını söylüyor; sizde durum nasıldı, yorumlarda yazarsanız başkalarına da yol gösterir.

Kaynaklar

• Adobe - Security update available for Adobe Commerce | APSB26-153: https://www.adobe.com/trust/security/pro...6-153.html
  
• Sansec - BlockStrap: Magento and Adobe Commerce RCE (CVE-2026-103849): https://sansec.io/research/blockstrap-magento-rce
  
• BleepingComputer - Critical BlockStrap flaw lets hackers run code on Magento servers: https://www.bleepingcomputer.com/news/se...o-servers/
  

Alıntı:Yasal Uyarı: Bu konu yalnızca bilgilendirme ve savunma amaçlıdır. Paylaşılan kontrol ve tespit adımlarını yalnızca sahibi olduğunuz veya yazılı izinle yönettiğiniz sistemlerde uygulayın. İzinsiz erişim, tarama ve sistemlere müdahale, 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).