Sipay OpenCart Virtual POS Module: Umgehung der Signaturprüfung
Zusammenfassung
Das Sipay Virtual POS Modul für OpenCart prüft kryptografische Signaturen auf Zahlungsdaten nicht korrekt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Signaturen fälschen, wodurch Bestellungen ohne gültige Zahlung akzeptiert werden könnten. Der CVSS-Wert beträgt 9.8 (kritisch). Drittquellen beschreiben gefälschte Zahlungs-Callbacks als Angriffsweg; der Hersteller hat dies nicht bestätigt.
Betroffen
- OpenCart Virtual POS Module (Sipay) ab 26.8.2 bis vor 26.9.1
- Frühere Versionen: Unbekannt.
- Unterstützte OpenCart-Kernversionen (3.x oder 4.x): Unbekannt.
Behoben in
- Version 26.9.1 (laut der türkischen CERT-Meldung TR-26-1287 und dem CVE-Eintrag)
Umgehung
- Vom Hersteller bestätigte Workaround ist nicht bekannt. Das Upgrade auf 26.9.1 ist die primäre Behebung.
- Drittanbieter-Vorschlag, nicht vom Hersteller bestätigt: Zugriff auf die Zahlungs-Callback-Endpunkte auf die IP-Adressen des Sipay-Gateways beschränken, aber erst nach Bestätigung dieser Adressen durch Sipay.
Ausnutzung
- Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
- Öffentlicher Proof of Concept: Keiner bekannt.
- KEV-Eintrag: Keiner.
- EPSS (30 Tage): ca. 0.2%.
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Ermitteln Sie alle Online-Shops, die das Sipay OpenCart Modul verwenden, und erfassen Sie deren Versionen.
- Aktualisieren Sie das Modul auf 26.9.1 oder neuer.
- Gleichen Sie aktuelle Bestellungen mit den Abrechnungen von Sipay ab und prüfen Sie die Zahlungs-Callback-Protokolle auf Auffälligkeiten.
- Verlangen Sie von Sipay eine eigene Sicherheitsmitteilung und lassen Sie sich die unterstützten OpenCart-Kernversionen bestätigen.
- Prüfen Sie auch andere Sipay-Plugins, da die verwandte Lücke CVE-2026-86405 das PrestaShop Modul betrifft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Turkish CERT notice TR-26-1286 siberguvenlik.gov.tr
- GitHub Advisory GHSA-9f78-prj9-gr67 github.com
- Vulners CVE-2026-85531 vulners.com
- Pulse CVE-2026-85531 pulse.kalir.io
- Strix CVE-2026-85531 www.strix.ai
- ThreatAft social post infosec.exchange
- The Hacker Wire CVE-2026-85531 www.thehackerwire.com
- FintekWins Sipay OpenCart advisory (Turkish) www.fintekwins.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.