PrestaShop mağazam hiçbir parola sızmadan ele geçirildi

« Parolamı kim ele geçirdi » sorusu her zaman geçerli değildir

Bir mağaza ele geçirildiğinde ilk refleks çalınmış bir kimlik bilgisi aramaktır: erişimi hâlâ duran eski bir tedarikçi, virüs bulaşmış bir bilgisayar, başka bir yerde tekrar kullanılmış bir parola. Bu meşru bir izdir ve bazen doğru iz de odur. Ancak son yıllarda PrestaShop ekosisteminde yayınlanan açıkların bir bölümü bunların hiçbirini gerektirmez. Bu açıklar dışarıdan, mağazanın herkese açık bir sayfası üzerinden, hesap olmadan, oturum olmadan ve sizin herhangi bir işlem yapmanıza gerek kalmadan istismar edilir.

Buna kimlik doğrulaması gerektirmeyen istismar denir. Sunucu, sıradan bir ziyarete benzeyen bir istek alır; tek fark, gönderilen değerlerden birinin modül yazarının öngörmediği bir davranışı tetiklemek için özel olarak hazırlanmış olmasıdır. Modül bu değeri normal bir çalışma verisi gibi işler; açığın türüne göre sonuç, saptırılmış bir veritabanı sorgusu veya sunucuda çalıştırılan bir koddur. Hiçbir aşamada parola devreye girmez. Dolayısıyla olaydan sonra tüm kimlik bilgilerini değiştirmek kapıyı kapatmaz: o kapı zaten hiçbir zaman bir kimlik bilgisiyle kapalı tutulmuyordu.

Sık rastlanan ikinci yanlış anlama şudur: « yönetim panelim korumalı, erişimleri kısıtladım ». Yönetim panelini korumak iyi bir uygulamadır ama bu açıklar yönetim panelinden geçmez. Mağazanın kendisinden, yani tüm ziyaretçilerinize bilerek açık bıraktığınız kısımdan geçer. Bu durum yeni de değildir: 22 Ocak 2025'te PrestaShop, çekirdekte değil üçüncü taraf modüllerde bulunan SQL enjeksiyonu açıklarını istismar eden bir saldırı dalgası hakkında resmi bir uyarı yayınlamıştı.

Herkese açık iki yüzey: bir filtre sayfası ve bir promosyon penceresi

3 Haziran 2026'da PrestaShop, resmi çok yönlü filtreleme modülü ps_facetedsearch ile ilgili GHSA-m5f5-28qr-9g9r güvenlik bildirimini yayınladı; referansı CVE-2026-54159. Bu modül, kategori sayfalarınızda fiyat, marka veya özellik filtrelerini gösteren modüldür. CVSS puanı 10,0, yani ölçeğin en üst değeri. Etkilenen sürümler 3.0.0 ile 4.0.3 arasıdır, düzeltilmiş sürüm 4.0.4'tür.

Nedeni, önbelleğe alınmış filtre verilerinin güvenli olmayan biçimde ters serileştirilmesidir: URL üzerinden taşınan fiyat ve ağırlık kaydırıcısı değerleri önce serileştiriliyor, sonra unserialize() ile geri okunuyordu. Sonuç bir PHP nesne enjeksiyonu ve buradan uzaktan kod çalıştırmadır. Bildirime göre istismar uzaktan, hesap ve kimlik doğrulaması olmadan, tek bir istekle mümkündür ve sunucunun tamamen ele geçirilmesine yol açabilir. Açığı Frédéric Moreau (Antadis) ve Gilles Caudal (Datalinx) buldu.

Ertesi gün, 4 Haziran 2026'da PrestaShop 9.1.4 ve 8.2.7 sürümlerini yayınladı. Bu sürümler çekirdekte hiçbir değişiklik yapmaz ve hiçbir davranışı değiştirmez: yalnızca ps_facetedsearch 4.0.4'ü içerirler, böylece yeni bir kurulum düzeltilmiş modülle başlar (9.1.4 ayrıca bazı bağımlılıkları günceller: Symfony 6.4.41 ve Twig 3.27.1). Yani hâlihazırda kurulu bir mağazada önemli olan modülün sürümüdür, çekirdeğinki değil. Birçok satıcı çekirdeğe bakıp yanlış sonuca varıyor.

İkinci örnek, Idnovate tarafından yayınlanan üçüncü taraf promosyon penceresi modülü advancedpopupcreator'dır. 16 Şubat 2026 tarihli bildirim, CVE-2025-69633, CVSS puanı 9,8, 1.2.7'den önceki tüm sürümlerde kimlik doğrulaması gerektirmeden istismar edilebilen bir SQL enjeksiyonunu anlatır; düzeltme 1.2.7 sürümüdür ve bildirim, modül kullanılmıyorsa kaldırılmasını önerir. Sizin için asıl önemli ayrıntı başka yerde: denemeler site günlüklerinde sıradan POST / istekleri olarak görünür. Özel bir araç olmadan bunları normal trafikten ayırmak mümkün değildir. Birçok satıcının hiçbir saldırı izi bulamayıp çalınmış parola varsayımına dönmesinin nedeni tam olarak budur.