PrestaShop API Açığı: Webservice Anahtarı Öteki Mağazalara Ulaşıyor

ABD Ulusal Güvenlik Açığı Veritabanı (NVD), 14 Kasım 2026'da PrestaShop için yüksek düzeyde iki açık kaydı yayımladı (CVE-2026-71519 ve CVE-2026-71531, ikisi de CVSS 8,1). Kayıtları VulnCheck bildirdi. İki açık da PrestaShop'un Webservice API'sindedir: tek bir mağazaya kısıtlanmış erişim anahtarı, aynı kurulumdaki öteki mağazaların müşteri kayıtlarını okuyup değiştirebiliyor.

PrestaShop iki açığı 9 Kasım 2026'da kendi güvenlik duyurularıyla bildirdi ve aynı gün 8.2.9 ile 9.2.1 sürümlerini yayımladı. PrestaShop açık kaynak bir e-ticaret yazılımıdır. Webservice API ise dış yazılımların bir erişim anahtarıyla mağazanın verisine ulaşmasını sağlayan bölümüdür; pazaryeri, muhasebe ya da kargo entegrasyonları mağazaya çoğu zaman böyle bir anahtarla bağlanır.

Sürüm Dizisi	Etkilenen Sürümler	Yamalı Sürüm
PrestaShop 9	9.2.1 Öncesi	9.2.1
PrestaShop 8	8.2.9 Öncesi	8.2.9
PrestaShop 1.7 ve Öncesi	NVD'ye Göre Etkilenmiş	Duyurulmadı

PrestaShop API açığı hangi mağazaları etkiler

NVD kayıtlarına ve PrestaShop'un duyurularına göre iki açık da çoklu mağaza kurulumlarında, yani birden çok mağazanın tek bir PrestaShop kurulumundan yönetildiği durumda ortaya çıkar. NVD'ye göre açıkları kullanmak için geçerli bir Webservice anahtarı gerekir. Bu yüzden asıl risk, mağazanın anahtar verdiği dış yazılımlardan ve sızmış bir anahtardan gelir.

CVE-2026-71519'da anahtar, istekte adı geçen mağazaya göre denetleniyor, ama gerçekte açılan kaydın hangi mağazaya ait olduğuna bakılmıyordu. CVE-2026-71531'de ise bütün mağazaları ya da bir mağaza grubunu kapsayan istek, anahtarın bağlı olduğu mağazalara bakılmadan kabul ediliyordu. Sonuç iki açıkta da aynıdır: tek mağazaya yetkili bir anahtar, kurulumdaki bütün mağazaların müşteri kayıtlarını parola özetleri ve güvenlik anahtarları dahil okuyabilir. Müşteri kayıtlarına yazma izni olan anahtar, bir müşterinin e-posta adresini ve parolasını değiştirip hesabını ele geçirebilir.

Tek mağazalı kurulumlarda da yükseltme gerekir: 8.2.9 ve 9.2.1 sürüm notları bu iki düzeltmenin yanında arka ofis, kurulum ve çekirdekte başka güvenlik düzeltmeleri de sayıyor.

Mağaza sahibinin yapacağı kontroller

• Sürüm: 8 dizisindeki mağazayı 8.2.9'a, 9 dizisindeki mağazayı 9.2.1'e yükseltin. PrestaShop'un Update Assistant modülü (eski adıyla 1-Click Upgrade) mağazaya uygun güncellemeyi gösterir ve güncellemeden önce yedek alma adımı içerir.
• Webservice: Webservice API'yi kullanmıyorsanız kapatın. PrestaShop'un duyurusu bunu yükseltene kadarki geçici önlem olarak öneriyor. Ayar, arka ofiste Advanced Parameters (Gelişmiş Parametreler) menüsündeki Webservice sayfasındadır.
• Anahtarlar: Aynı sayfadaki listede her anahtarın kime verildiğine bakın. Pazaryeri, muhasebe ya da kargo entegrasyonu için dışarıya verilmiş anahtarın hâlâ kullanılıp kullanılmadığını ilgili firmayla doğrulayın ve kullanılmayanı kapatın. PrestaShop'un belgesine göre her anahtar her an devre dışı bırakılabilir.
• Yetkiler: Müşteri kayıtlarına erişim yalnızca tam güvendiğiniz entegrasyonların anahtarında kalsın; duyurudaki öneri budur. Her anahtara yalnızca işinin gerektirdiği kaynakları açın.
• Çoklu Mağaza: Yükseltene kadar tek mağazaya kısıtlanmış her anahtarı bütün mağazalara ulaşabilen bir anahtar sayın. PrestaShop'un duyurusu bu süre için böyle davranılmasını öneriyor.

Bir müşteri hesabının e-posta adresi ya da parolası sizin bilginiz dışında değiştiyse ya da listede tanımadığınız bir anahtar varsa sürümü yükseltmek yetmez: mağazanın ihlal açısından incelenmesi ve etkilenen müşteri hesaplarının belirlenmesi gerekir. Bu inceleme müşteri verisine dokunduğu için uzman eliyle yapılmalıdır. AdPix'in e-ticaret teknik destek hizmeti bu incelemeyi kapsar.

PrestaShop API açığı hakkında sık sorulan sorular

Tek mağazam var, yine de güncellemeli miyim?

Evet. İki açık çoklu mağaza kurulumlarında ortaya çıkar, ama 8.2.9 ve 9.2.1 sürüm notları bu iki düzeltmenin yanında arka ofis, kurulum ve çekirdekte başka güvenlik düzeltmeleri de sayıyor. Yükseltme bu düzeltmeleri birlikte getirir.

Webservice API'yi kullanıp kullanmadığımı nasıl anlarım?

Arka ofiste Advanced Parameters (Gelişmiş Parametreler) menüsündeki Webservice sayfasına bakın. Webservice kapalıysa PrestaShop'un duyurusundaki geçici önlem zaten uygulanmış demektir. Sayfada anahtar varsa her birinin hangi entegrasyona ait olduğunu açıklamasından ve ilgili firmadan doğrulayın.

PrestaShop 1.7 kullanıyorum, ne yapmalıyım?

NVD kayıtları 8.2.9 öncesindeki bütün sürümleri etkilenmiş sayıyor; PrestaShop'un duyuruları ise yalnızca 8 ve 9 sürüm dizileri için yamalı sürüm veriyor. 1.7 için yama duyurulmadığından Webservice kullanılmıyorsa kapatılmalı, kullanılıyorsa 8 ya da 9 dizisine geçiş planlanmalıdır.

Entegrasyon firmasının anahtarını kapatırsam ne olur?

O firmanın yazılımı mağazanın verisine ulaşamaz; örneğin sipariş, stok ya da fatura aktarımı durabilir. Bu yüzden kullanılan bir anahtarı kapatmadan önce firmayla konuşun. Kullanılmadığı doğrulanan anahtarı ise bekletmeden kapatın.