# 🛒 953 online mağazaya tarayıcılardan gizlenen zararlı kod yerleştirildi (çoğu Magento): mağaza sahipleri ne yapmalı?

**URL:** <https://sibernobet.com/t/953-online-magazaya-tarayicilardan-gizlenen-zararli-kod-yerlestirildi-cogu-magento-magaza-sahipleri-ne-yapmali/211>\
**Category:** Siber Haberler · Güncel\
**Tags:** web-guvenligi, e-ticaret, siber-haberler, magento\
**Created:** [Ekim 26, 2026, 6:41ös UTC](https://sibernobet.com/t/953-online-magazaya-tarayicilardan-gizlenen-zararli-kod-yerlestirildi-cogu-magento-magaza-sahipleri-ne-yapmali/211 "2026-10-26T18:41:00Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 26, 2026, 6:41ös UTC](https://sibernobet.com/t/953-online-magazaya-tarayicilardan-gizlenen-zararli-kod-yerlestirildi-cogu-magento-magaza-sahipleri-ne-yapmali/211/1 "2026-10-26T18:41:00Z")

</div>

> **Kısaca:** Hollandalı e-ticaret güvenlik firması **Sansec** , çoğu **Magento / Adobe Commerce** kullanan **953 online mağazaya** gizli bir JavaScript yükleyici yerleştirildiğini açıkladı. Kod **Temmuz 2025’ten beri** aktif ve güvenlik tarayıcılarına kendini göstermiyor. **Kontrol tarihi: 26 Ekim 2026 (TR).**

## Ne oldu?

- Saldırganlar zararlı kodu mağazanın veritabanındaki **`cms_block`** tablosuna (sayfalardaki içerik bloklarına) gömdü. Yani dosyalarda değil, içerikte duruyor.
- Bir türü asıl zararlı yükü tarayıcının **localStorage** alanında saklıyor; diğeri ziyaretçinin tarayıcısını “parmak iziyle” tanıyıp **güvenlik tarayıcılarına temiz sayfa** gösteriyor.
- Son aşamada ne yaptığı (kart bilgisi çalma mı, yönlendirme mi) henüz bilinmiyor. E-ticarette bu tür kodlar genelde **ödeme sayfasından kart bilgisi çalmak** (Magecart) için kullanılır.

## Mağazalar nasıl ele geçirildi?

- Yaklaşık **471 mağaza PolyShell (CVE-2026-48356)**, yaklaşık **102 mağaza PolyShell ya da SessionReaper (CVE-2025-54236)** açığıyla.
- Dikkat çekici: **tam yamalı** (2.4.7-p10) bir mağaza da, saldırganın açtığı **sahte yönetici hesabı** üzerinden ele geçirildi. Yani yama tek başına yetmiyor; yönetici hesapları da kontrol edilmeli.
- PNG resim gibi görünen web shell’ler `pub/media/custom_options/quote/` klasörüne konmuş.

## ✅ Magento mağazan varsa

1. Adobe’nin **APSB26-73** güvenlik güncellemesini uygula.
2. **Yönetici hesaplarını tek tek kontrol et** ; tanımadığın hesabı sil, tüm yönetici şifrelerini değiştir, iki adımlı doğrulamayı aç.
3. Veritabanında `cms_block` ve `cms_page` tablolarında **beklenmedik `<script>`** etiketi ara.
4. `pub/media/custom_options/quote/` klasöründe `.png` uzantılı ama içinde PHP kodu olan dosyalara bak.
5. Şu alan adlarını güvenlik duvarında/DNS’te engelle ve kodda ara: `manulfie[.]click`, `neswnsssn[.]click`, `lanhd6549tdhse[.]top`, `additionalver[.]com`, `deepveindrilling[.]com`
6. Kart ödemesi alıyorsan ödeme sağlayıcının **barındırılan ödeme sayfasını** (kart bilgisinin senin sitende girilmediği yöntem) kullanmak bu tür saldırıların etkisini ciddi azaltır.

## Alışveriş yapan biri olarak

- Mümkünse **sanal kart** ya da limitli kart kullan; banka uygulamasında **internet alışverişini sadece alışveriş yaparken açmak** iyi bir alışkanlık.
- Kartından tanımadığın bir harcama çıkarsa: [Kart bilgilerim çalındı: ilk 30 dakika](https://sibernobet.com/t/127)

_Kaynaklar: [The Hacker News, 26 Ekim](https://thehackernews.com/2026/10/hackers-infect-953-online-stores-with.html), [SecurityWeek, 26 Ekim](https://www.securityweek.com/953-online-stores-infected-in-long-lasting-malware-campaign/), Sansec araştırması. Kontrol tarihi: 26 Ekim 2026._

💬 Kendi e-ticaret siten var mı? Hangi altyapıyı kullanıyorsun? Aşağıya yaz.