Magento'da 6 yıl gizli kalan siber tuzak eş zamanlı aktive edildi: Yüzlerce e-ticaret sitesi tehlikede
ABD’nin Kaliforniya eyaletinde 2008 yılında kurulan ve günümüzde Adobe çatısı altında faaliyet gösteren, e-ticaret sitelerinin tercih ettiği açık kaynaklı içerik yönetim sistemi Magento’nun altyapısını kullanan yüzlerce e-ticaret sitesi, 2019 yılında bazı popüler eklentilere gizlice yerleştirilen kötü amaçlı kodların Nisan 2025’te aktive edilmesiyle büyük bir siber saldırının hedefi oldu.
Hollanda merkezli siber güvenlik firması Sansec, aralarında milyarlarca dolarlık şirketlerin de olduğu 500 ila 1000 internet mağazasının bu saldırıdan etkilenmiş olabileceğini duyurdu.
Saldırı nasıl gerçekleşti?
Sansec'in açıklamasına göre, saldırganlar 2019 yılında 21 farklı Magento eklentisine bir tür 'arka kapı' yerleştirdi. Bu kodlar yıllarca pasif şekilde sistemde kaldı. Ancak 2025’in Nisan ayında hepsi aynı anda devreye alındı.
Arka kapılar, eklentilerin lisans kontrol dosyalarına gizlenmişti. Belirli sinyallerle tetiklenen bu kodlar, saldırganlara uzaktan sunucuya dosya yükleme ve çalıştırma yetkisi tanıyordu. Böylece saldırganlar, hedef sitelerde yönetici hesabı oluşturabiliyor, müşteri verilerine erişebiliyor, hatta ödeme bilgilerinin çalınmasına yol açabilecek kodlar yerleştirebiliyordu.
Hangi firmaların eklentileri etkilendi?
Saldırının hedefinde, Magento dünyasında yaygın olarak bilinen üç geliştirici var:
- Tigren (Vietnam): Ajaxsuite, Ajaxcart, MultiCOD gibi modüller
- Meetanshi (Hindistan): CookieNotice, FacebookChat, CurrencySwitcher
- MGS (ABD): StoreLocator, Popup, GDPR, Ürün Sekmeleri
Ayrıca Weltpixel’in GoogleTagManager uzantısının da güvenliği ihlal edilmiş bir sürümüne rastlandı.
Şirketlerin tepkisi
- Tigren, saldırıyı reddetti ve eklentileri dağıtmaya devam etti.
- Meetanshi, bir sunucu ihlalini kabul etti ancak eklentilerin riskli olduğunu reddetti.
- MGS, uyarılara yanıt vermedi.
- Bağımsız kaynak BleepingComputer, MGS’nin 'StoreLocator' eklentisinde arka kapının bulunduğunu doğruladı.
Sansec, bu eklentileri kullanan tüm Magento site sahiplerine, tam sunucu taraması yapmaları, bilinen güvenli bir yedekten sitelerini geri yüklemelerini ve özellikle lisans kontrol dosyalarını incelemelerini önerdi.
