ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 27 Ekim 2026 tarihinde Brotli kütüphanesindeki CVE-2026-111497 ve Adobe Commerce ile Magento sistemlerindeki CVE-2026-48356 açıklarını Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. KEV, CISA'nın gerçek saldırılarda kullanıldığına dair kanıt bulunan açıkları listelediği katalog olarak işlev görüyor. Daha önce yayımlanan Palo Alto PAN-OS ve Microsoft .NET haberlerimizde açığın istismar edildiğinin bilinmediği ve KEV listesinde yer almadığı belirtilmişti; bu durum 27 Ekim'de CISA kararıyla değişti.
CISA ne açıkladı
CISA, iki açığı aktif istismar kanıtına dayanarak kataloğa eklediğini duyurdu. Katalog güncellemesi 27 Ekim 2026 günü 22:00 TSİ'de yayımlandı. CISA istismarı kimin, nasıl veya kaç sistemde gerçekleştirdiğini ve Brotli bileşeninin hangi nihai ürün üzerinden istismar edildiğini açıklamadı. Her iki açığın da herhangi bir fidye yazılımı kampanyasında kullanılıp kullanılmadığı bilinmiyor.
Katalog kapsamında belirlenen 10 Kasım 2026 son tarihi, CISA'nın BOD 26-04 direktifi doğrultusunda yalnız ABD federal sivil kurumlarını bağlıyor. CISA, bağlayıcılığı olmasa da tüm kurumları bu açıkları önceliklendirmeye davet ediyor. KEV kaydında belirtilen gerekli işlem, üreticinin yönergelerine göre önlem almak ya da önlem bulunmuyorsa ilgili ürünü kullanmayı bırakmak şeklinde tanımlanıyor.
Brotli açığı ve düzeltilmiş sürümler
Google tarafından geliştirilen Brotli, pek çok yazılımın içinde gömülü olarak yer alan bir sıkıştırma kütüphanesidir. CVE-2026-111497, Brotli çözücüsünde bulunan bir arabellek taşması sorunudur ve 1.0.3 ile 1.2.0 arasındaki sürümleri etkiler. Kimliği doğrulanmamış uzak bir saldırgan, özel olarak hazırlanmış Brotli verisi ile bellek içeriğini sızdırabilir, hizmeti aksatabilir ya da olası olarak kod çalıştırabilir. Google açığın CVSS 4.0 puanını 9,2 olarak belirledi.
Düzeltilmiş Brotli sürümleri 1.0.10, 1.1.1 ve 1.2.1 olarak açıklandı; Google 1.2.1 sürümünü 21 Ekim 2026 tarihinde yayımladı. Açık kaynaklı bu kütüphaneyi sistemlerinde barındıran farklı üreticiler kendi güvenlik güncellemelerini yayımlamayı sürdürüyor.
Adobe Commerce ve Magento açığı
Adobe, CVE-2026-48356 açığını 14 Temmuz 2026 tarihinde yayımladığı APSB26-73 bülteniyle giderdi; bültenin son güncelleme tarihi 11 Ağustos 2026. Tehlikeli türde dosyanın kısıtlamasız yüklenmesinden kaynaklanan zafiyet, Adobe tarafından kritik derecesi ile sınıflandırıldı. İstismar için kimlik doğrulama gerekmezken, kurbanın kötü amaçlı bir adresi ziyaret etmesi gibi bir kullanıcı etkileşimi gerekiyor. NVD veritabanında CVSS 3.1 puanı 9,3 olarak kayıtlı olan açık, saldırganın mevcut kullanıcı bağlamında kod çalıştırmasına ya da oturum üzerinde denetim sağlamasına yol açabiliyor. Adobe bülteni yayımlandığında şirket gerçek ortamda bir istismardan haberdar olmadığını bildirmişti; CISA ise 27 Ekim'de açığı aktif istismar kanıtıyla kataloğa ekledi.
Etkilenen platformlar ve sürümler şunlardır:
- Adobe Commerce 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17, 2.4.4-p18 ve öncesi
- Magento Open Source 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15 ve öncesi
- Adobe Commerce B2B 1.5.3, 1.5.2-p5, 1.4.2-p10, 1.3.4-p17, 1.3.3-p18 ve öncesi
- Adobe Commerce Events 1.6.0–1.20.0
Sorunun çözümü için ilgili sürümlerin Temmuz 2026 güvenlik sürümlerine (örneğin 2.4.9-2026-jul, 2.4.8-2026-jul) ve Adobe Commerce Events için 1.21.0 sürümüne geçilmesi gerekiyor.
Türkiye açısından
Türkiye'de bu açıklara yönelik herhangi bir istismar, etkilenen kurum veya sayı bildirilmedi. Siber Güvenlik Başkanlığı'nın (SGB) 8 Temmuz ile 27 Ekim 2026 tarihleri arasındaki bildirimleri incelendiğinde, bu iki KEV eklemesine veya Adobe açığına dair bir kayıt bulunmuyor. SGB, Brotli açığını daha önce Node.js kapsamında 23 Ekim 2026'da TR-26-1388 koduyla duyurmuştu.
10 Kasım son tarihi Türkiye'deki kurumlar için yasal bir zorunluluk taşımasa da KEV kararı güçlü bir öncelik işareti sayılıyor. Adobe Commerce veya Magento kullanan e-ticaret sitelerinin Temmuz 2026 güvenlik sürümlerine yükseltilmesi, Brotli kütüphanesini barındıran sunucu ve ağ cihazlarında ise ilgili üreticilerin yayımladığı yamaların uygulanması gerekiyor.
Kaynaklar
- CISA — CISA Adds Two Known Exploited Vulnerabilities to Catalog, 27 Ekim 2026
- CISA — Known Exploited Vulnerabilities Catalog
- NIST NVD — CVE-2026-111497
- CVE Program — CVE-2026-111497
- Google — Brotli v1.2.1 sürüm notu (GitHub), 21 Ekim 2026
- Adobe — Security update available for Adobe Commerce, APSB26-73, 14 Temmuz 2026
- NIST NVD — CVE-2026-48356
Kapak görseli (temsili): Adobe'nin San Jose genel merkezi; CISA veya Google ile ilgili değildir — Mountain, Wikimedia Commons, CC BY-SA 3.0 (1200×675 kırpıldı).
