Dizüstü bilgisayarda banka kartıyla çevrim içi ödeme yapan bir kişinin elleri (temsili görsel)

Türk bankalarının sanal POS altyapılarına bağlanmak için yazılan açık kaynak PHP kütüphanesi mews/pos bünyesinde CVE-2026-118377 koduyla tanımlanan bir güvenlik açığı tespit edildi. Sorun, 3D Pay ve 3D Host ödeme modellerinde bankadan dönen sonucun doğrulanmamasından kaynaklanıyor. Açık bankaların kendi sistemlerinde değil, kütüphaneyi kullanan e-ticaret sitelerinin ödeme sonucunu işleyen uygulama kodunda yer alıyor. Güvenlik açığının gerçek ortamda istismar edildiğine dair bir bildirim bulunmuyor.

Siber Güvenlik Başkanlığı (SGB), benzer sanal POS modülü açıkları için 9 Ekim'de yayımladığı Sipay OpenCart sanal POS güvenlik bildirimi TR-26-1286 ve Sipay PrestaShop sanal POS güvenlik bildirimi TR-26-1287 duyurularıyla e-ticaret sitelerindeki ödeme entegrasyonu risklerine işaret etmişti. Kütüphane bankaların resmi bir ürünü olmayıp üçüncü taraf bir açık kaynak paketidir.

Açık nasıl bir risk doğuruyor

GitHub üzerinde mewebstudio/pos adıyla sunulan yazılım, e-ticaret sitelerinin banka sistemleriyle iletişim kurmasını sağlıyor. CVE Programı'nda 28 Ekim 2026 saat 05:03 TSİ'de yayımlanan ve VulnCheck tarafından numaralandırılan CVE-2026-118377 kaydına göre, mews/pos 2.0.0 ve öncesi sürümlerde verinin gerçekliğinin yeterince doğrulanmaması sorunu bulunuyor. Kayıtta açığı bulan ve düzeltmeyi hazırlayan kişi olarak Ali Kostak gösteriliyor; Kostak, GitHub'daki yorumunda açığı kaynak kod incelemesiyle tespit ettiğini yazdı.

Kayıttaki açıklamaya göre bu sürümlerde GarantiPos, PayForPos ve InterPos bileşenlerinin 3D Pay ve 3D Host işleyicileri, bankadan dönen ödeme yanıtının hash kontrolünü yapmıyor. VulnCheck'e göre bu durum, kimliği doğrulanmamış bir saldırganın sahte bir geri dönüş isteği göndererek ödeme durumunu, tutarı veya sipariş numarasını değiştirmesine ve siparişi ödeme yapılmadan tamamlatmasına imkân verebiliyor. Projenin belgelerine göre GarantiPos Garanti, PayForPos Finansbank, Enpara ve Ziraat Katılım, InterPos ise Denizbank sanal POS bağlantıları için kullanılıyor; bankaların kendi sistemleri bu açıktan etkilenmiyor. VulnCheck açığa CVSS 4.0'da 8,7, CVSS 3.1'de 7,5 puan verdi; düzeltmeyi hazırlayan araştırmacı da GitHub'da CVSS 3.1 için 7,5 puan önermişti. NVD kendi değerlendirmesini henüz yapmadı.

Düzeltme ne durumda

Güvenlik açığına yönelik onarım süreci aşamalı olarak ilerliyor:

E-ticaret siteleri ne yapmalı

mews/pos kütüphanesini kullanan platformlar GarantiPos ya da PayForPos bileşenleriyle 3D Pay veya 3D Host yöntemlerini işletiyorsa ana daldaki düzeltmeyi uygulamalı ya da yayımlanacak yeni sürümü takip etmeli. InterPos bileşenini kullananlar için düzeltme henüz bulunmadığından ek kontroller önem taşıyor. Sipariş onaylanmadan önce ödeme neticesinin bankanın durum sorgulama servisi aracılığıyla doğrulanması, sipariş numarası ile tutarın banka kayıtlarıyla karşılaştırılması ve kütüphanede sürüm 1.7.0 ile sunulan 3D hash kontrolünü devre dışı bırakan seçeneğin kullanılmaması riski azaltır.

Türkiye açısından

Kütüphane Türk bankalarının sanal POS'ları için geliştirildiğinden açık doğrudan Türkiye'deki e-ticaret sitelerini ilgilendiriyor; ancak paketi kullanan site sayısı bilinmiyor. Açıktan etkilendiği bildirilen bir işletme, istismar vakası ya da kayıp bulunmuyor. Bankaların kendi altyapılarında herhangi bir güvenlik zafiyeti bildirilmedi. Siber Güvenlik Başkanlığı'nın (SGB) mews/pos ya da CVE-2026-118377 özelinde yayımlanmış bir bildirimi bulunmuyor.

Kaynaklar

Kapak görseli (temsili): banka kartıyla çevrim içi alışveriş; mews/pos ya da haberde adı geçen bankalarla ilgili değildir — Bogdan Hoyaux / European Commission, Wikimedia Commons, CC BY 4.0 (1200×675 kırpıldı).