🛒 953 online mağazaya tarayıcılardan gizlenen zararlı kod yerleştirildi (çoğu Magento): mağaza sahipleri ne yapmalı?

Siber Haberler · Güncel
, , ,
1

Kısaca: Hollandalı e-ticaret güvenlik firması Sansec, çoğu Magento / Adobe Commerce kullanan 953 online mağazaya gizli bir JavaScript yükleyici yerleştirildiğini açıkladı. Kod Temmuz 2025’ten beri aktif ve güvenlik tarayıcılarına kendini göstermiyor. Kontrol tarihi: 26 Ekim 2026 (TR).

Ne oldu?

  • Saldırganlar zararlı kodu mağazanın veritabanındaki cms_block tablosuna (sayfalardaki içerik bloklarına) gömdü. Yani dosyalarda değil, içerikte duruyor.
  • Bir türü asıl zararlı yükü tarayıcının localStorage alanında saklıyor; diğeri ziyaretçinin tarayıcısını “parmak iziyle” tanıyıp güvenlik tarayıcılarına temiz sayfa gösteriyor.
  • Son aşamada ne yaptığı (kart bilgisi çalma mı, yönlendirme mi) henüz bilinmiyor. E-ticarette bu tür kodlar genelde ödeme sayfasından kart bilgisi çalmak (Magecart) için kullanılır.

Mağazalar nasıl ele geçirildi?

  • Yaklaşık 471 mağaza PolyShell (CVE-2026-48356), yaklaşık 102 mağaza PolyShell ya da SessionReaper (CVE-2025-54236) açığıyla.
  • Dikkat çekici: tam yamalı (2.4.7-p10) bir mağaza da, saldırganın açtığı sahte yönetici hesabı üzerinden ele geçirildi. Yani yama tek başına yetmiyor; yönetici hesapları da kontrol edilmeli.
  • PNG resim gibi görünen web shell’ler pub/media/custom_options/quote/ klasörüne konmuş.

:white_check_mark: Magento mağazan varsa

  1. Adobe’nin APSB26-73 güvenlik güncellemesini uygula.
  2. Yönetici hesaplarını tek tek kontrol et; tanımadığın hesabı sil, tüm yönetici şifrelerini değiştir, iki adımlı doğrulamayı aç.
  3. Veritabanında cms_block ve cms_page tablolarında beklenmedik <script> etiketi ara.
  4. pub/media/custom_options/quote/ klasöründe .png uzantılı ama içinde PHP kodu olan dosyalara bak.
  5. Şu alan adlarını güvenlik duvarında/DNS’te engelle ve kodda ara: manulfie[.]click, neswnsssn[.]click, lanhd6549tdhse[.]top, additionalver[.]com, deepveindrilling[.]com
  6. Kart ödemesi alıyorsan ödeme sağlayıcının barındırılan ödeme sayfasını (kart bilgisinin senin sitende girilmediği yöntem) kullanmak bu tür saldırıların etkisini ciddi azaltır.

Alışveriş yapan biri olarak

  • Mümkünse sanal kart ya da limitli kart kullan; banka uygulamasında internet alışverişini sadece alışveriş yaparken açmak iyi bir alışkanlık.
  • Kartından tanımadığın bir harcama çıkarsa: Kart bilgilerim çalındı: ilk 30 dakika

Kaynaklar: The Hacker News, 26 Ekim, SecurityWeek, 26 Ekim, Sansec araştırması. Kontrol tarihi: 26 Ekim 2026.

:speech_balloon: Kendi e-ticaret siten var mı? Hangi altyapıyı kullanıyorsun? Aşağıya yaz.