Magento güvenlik güncellemesi APSB26-153: Ekim 2026 yaması nasıl uygulanır

Kimler etkileniyor

Ekim düzeltmelerini henüz kurmamış; Adobe Commerce 2.4.4 ile 2.4.9, Adobe Commerce B2B 1.3.3 ile 1.5.3 ve Magento Open Source 2.4.6 ile 2.4.9 arasındaki sürümlerde çalışan tüm mağazalar. Adobe’un sürüm adlandırmasında bunlar “2026-sep and earlier” sürümleri.

Adobe güncellemeyi Öncelik 2 olarak sınıflandırıyor ve bu açıkları kullanan bir saldırıdan henüz haberdar olmadığını söylüyor. Yine de giriş gerektirmeden çalışan CVSS 10,0’lık bir açık, ayrıntılar kamuya açıklandıktan kısa süre sonra istismar edilen türden bir hata. Bu yüzden yamayı bu ay içinde değil, bu hafta uygulamanızı öneriyoruz.

11 güvenlik açığına genel bakış

Bu kez composer update neden yetmiyor

Adobe, Ekim düzeltmelerini izole güvenlik düzeltmesi olarak sınıflandırdı. Bu tür sürümlerde Adobe yalnızca yama dosyası yayınlıyor; her sürüm hattı için bir ZIP dosyası var, yeni Composer paketi yok. Amaç hız: bağımlılıkları değiştiren tam bir upgrade yerine küçük bir yama uyguluyorsunuz.

İki koşul var. Mağazanızın kendi sürüm hattının en güncel güvenlik sürümünde olması gerekiyor; örneğin 2.4.7-p10 ya da 2.4.8-p5. Ayrıca o hat için daha önce çıkan tüm aylık izole yamaların kurulu olması gerekiyor, çünkü her ay bir öncekinin üzerine kuruluyor.

Hangi dosyaya ihtiyacınız var

Magento Open Source mağazaları 2.4.7 ve sonrası için yamaları indirebiliyor. Open Source 2.4.6 için Ekim yaması yok; bu mağazaların 2.4.7 ya da daha yeni bir sürüme upgrade etmesi gerekiyor. Adobe Commerce 2.4.6 ve daha eski sürümlerdeki mağazalar dosyayı indirmek için Composer anahtarlarıyla giriş yapıyor.

Adım adım nasıl uygulanır

1. Kodun ve veritabanının tam yedeğini alın ve yamayı önce test ortamındaki bir kopyaya uygulayın, asla doğrudan canlı mağazaya değil.
2. Tam sürümünüzü ve kurulu bileşenlerinizi kontrol edin: CE, EE, B2B, PageBuilder vb.
3. Ekim dosyasını ZIP’ten çıkarın. İçinde her bileşen ve sürüm için ayrı olmak üzere birden fazla yama dosyası olabilir. Yalnızca gerçekten kullandığınız bileşen ve sürümlere uyan dosyaları kullanın.
4. Yamaları sırayla uygulayın: önce Community Edition (CE), sonra Enterprise Edition (EE), ardından B2B ve diğer bileşenler. Önceki bir ayı atladıysanız önce o ayı aynı sırayla uygulayın.
5. Adobe Commerce on-premises ve Magento Open Source’ta her yamayı Magento kök klasörüne yükleyin ve aşağıdaki komutu çalıştırın. Hata verirse -p1 yerine -p2 deneyin.

patch -p1 < 249-2026-10-001-CE.patch
bin/magento cache:flush

Yukarıdaki dosya adı yalnızca Adobe’un adlandırma düzenine bir örnek: sürüm, yıl, ay, sıra numarası ve bileşen. ZIP dosyanızın içinde gerçekten bulunan adları kullanın.

Adobe Commerce on Cloud’da yama dosyalarını proje kökündeki m2-hotfixes klasörüne kopyalayın, ardından commit ve push yapın. Cloud projeleri düzeltmeyi Magento Cloud Patches paketi üzerinden de alabilir. Kullandığınız cloud-patches sürümü düzeltmeyi zaten içeriyorsa izole yamayı ayrıca uygulamayın, aksi halde deployment başarısız olur.

Mağazanın gerçekten korunduğunu kontrol edin

Adobe’un Commerce Version Tool (CVT) aracı hangi aylık yamaların kurulu olduğunu, hangilerinin eksik olduğunu ve her CVE için mağazanızın PROTECTED, VULNERABLE ya da UNKNOWN durumda olduğunu gösteriyor. Aracı Magento kök klasöründen çalıştırın:

php vendor/bin/patch-status --version
php vendor/bin/patch-status

İlk komut bir şey bulamazsa araç henüz kurulu değil demektir. CVT, Temmuz 2026 izole yamasıyla birlikte geliyor; bu yüzden önce o yamayı, CE dosyasından başlayarak kurun.

Anahtarları ve erişim bilgilerini yenileyin

Adobe, bu güncellemenin parçası olarak şifreleme anahtarını ve ona bağlı erişim bilgilerini yenilemenizi önemle tavsiye ediyor. Yalnızca yeni bir anahtar yetmez, çünkü sızmış olabilecek erişim bilgileri siz kaynağında değiştirene kadar geçerli kalır. Adobe’un önerdiği sıra:

1. Yamaları uygulayın, ardından bakım modunu açın ve cron’u durdurun.
2. Magento şifreleme anahtarını yenileyin ve tüm yönetici şifrelerini değiştirin.
3. Tüm REST, SOAP ve GraphQL entegrasyon token’larını ve bağlı uygulamaların OAuth secret’larını yeniden oluşturun.
4. Ödeme sağlayıcınızın API erişim bilgilerini sağlayıcının kendi panelinden değiştirin; örneğin Stripe, Adyen, PayPal ya da Braintree.
5. Veritabanı, SSH ve deploy anahtarlarını, ayrıca kargo, vergi ve diğer entegrasyonların API anahtarlarını değiştirin.
6. Önbelleği temizleyin, cron’u yeniden başlatın ve bakım modunu kapatın.

Önerimiz

Bir sonraki düzenli sürümü beklemeyin. Test ortamını bugün yamalayın; ödeme sayfasını, ödemeyi ve yönetici girişini test edin ve bu hafta canlıya alın. Yamadan sonra CVT hala VULNERABLE gösteriyorsa bir aylık yama eksiktir ya da bir dosya düzgün uygulanmamıştır.

Magento Open Source 2.4.6 ya da 2.4.7-p8 gibi daha eski bir yama seviyesindeki mağazalar Ekim dosyasını doğrudan kullanamıyor. Önce upgrade yapmaları gerekiyor ve bu, upgrade’i aceleye getirmeden doğru planlamak için tam zamanı.

Yardıma mı ihtiyacınız var? MageBooster, Ekim yamasını sizin için önce test ortamına uygular, CVT ile kontrol eder, anahtarları yeniler ve canlıya alır. Magento sürümünüzü bize gönderin, aynı iş günü içinde dönüş yapalım.

Güvenlik güncellemesi için destek alın →

Kaynaklar

• Adobe güvenlik bülteni APSB26-153
• APSB26-153 için Adobe sürüm notları ve yama dosyaları
• Adobe’un sağladığı izole yama nasıl uygulanır
• CVE-2026-75650 hotfix’i (APSB26-146) ve anahtar yenileme
• Commerce Version Tool