Sipay çalışanları İstanbul'daki genel merkezde, arka planda Sipay logosu

Sipay Elektronik Para ve Ödeme Hizmetleri A.Ş. tarafından geliştirilen WooCommerce Sanal POS Modülü'nde kimlik doğrulamasının atlatılmasına ve ödeme API mesajlarının değiştirilmesine imkân veren kritik bir güvenlik açığı tespit edildi. Siber Güvenlik Başkanlığı (SGB), 11 Kasım 2026'da yayımladığı TR-26-1520 numaralı bildirimde CVE-2026-85632 kodlu açığın kullanılarak saldırı gerçekleştirilmesinin ihtimal dahilinde olduğunu belirtti ve modülün en az 26.9.1 sürümüne yükseltilmesini tavsiye etti.

Açık ne yapıyor

USOM tarafından yayımlanan CVE-2026-85632 kaydına göre açık, kritik bir işlev için kimlik doğrulama eksikliği (CWE-306) ve bütünlük kontrol değerinin hatalı doğrulanması (CWE-354) zafiyetlerinden oluşuyor. Zafiyet, ortadaki adam (Man-in-the-Middle) yöntemiyle kimlik doğrulamasının atlatılmasına ve uygulamanın API mesajlarının araya girilerek değiştirilmesine imkân veriyor. CVSS puanı 9,1 (kritik) olarak kaydedilen açık, ağ üzerinden yetki ve kullanıcı etkileşimi gerekmeden istismar edilebiliyor. Açığın aktif olarak istismar edildiğine dair bir bilgi açıklanmadı.

Hangi sürümler etkileniyor

Bildirime göre WooCommerce Sanal POS Modülü'nün 26.8.3 ile 26.9.1 öncesi sürümleri açıktan etkileniyor. Modülün 26.9.1 ve sonraki sürümleri zafiyetten etkilenmiyor. Etkilenen mağaza sayısı açıklanmadı.

Aynı üreticinin önceki bildirimleri

SGB, 9 Ekim 2026'da da Sipay'in OpenCart (TR-26-1286) ve PrestaShop (TR-26-1287) sanal POS eklentilerindeki kritik açıklar için bildirim yayımlamış ve her ikisinde de 26.9.1 sürümünü önermişti.

Türkiye açısından

WooCommerce, WordPress tabanlı e-ticaret sitelerinin kullandığı açık kaynaklı bir mağaza eklentisi; Sipay modülü bu mağazalarda kart ödemesini Sipay sanal POS altyapısı üzerinden alıyor. Açık, ödeme akışındaki mesajların değiştirilmesine imkân verdiği için modülü kullanan Türk e-ticaret siteleri doğrudan etkileniyor.

Kaynaklar

Kapak görseli: Sipay (kırpıldı, 1200x675).