Drupal предупреди, че атакуващи експлоатират „изключително критична“ уязвимост в сигурността на нейния компонент Commerce Core.

Уязвимостта, проследявана като CVE-2026-118539 (оценка по CVSS: N/A), представлява случай на липсваща оторизация, който засяга версиите на Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.

„Този модул ви позволява да продавате стоки и услуги на клиенти чрез включена пазарска количка и формуляр за плащане или чрез отделени приложения посредством API“, посочват от Drupal в бюлетин за сигурност.

„Модулът не защитава в достатъчна степен определени маршрути и полета на обекти, което води до заобикаляне на контрола на достъпа, способно да нанесе финансови щети на търговеца.“

Платформата с отворен код за управление на съдържанието призна, че уязвимостта се „експлоатира активно в реална среда“, но не предостави конкретни подробности за естеството на дейността или мащаба на кампанията.

На потребителите се препоръчва да инсталират обновяване до най-новата версия -

  • Версия 3.x - Надстройте до Commerce Core 3.3.13
  • По-ранни версии - Надстройте до Commerce Core 8.x-2.41

Drupal изказа благодарност на изследователите Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) и Robert Snyder (rsnyd) за докладването на пропуска.

Това развитие идва в момент, когато две критични уязвимости в PHP, проследявани като CVE-2026-109618 и CVE-2026-109619 (оценки по CVSS: 9.2) и наричани събирателно PHP2Shell, са обект на активни опити за експлоатация в реална среда.

Към 25 октомври процентът на организациите, значително засегнати от PHP2Shell, е спаднал до 52.1%, според данни на притежаваната от Google компания Wiz.

Компанията за облачна сигурност заяви, че досега е наблюдавала два вида дейности, включително опити, използващи механизма за експлоатация PHP2Shell, които съвпадат с публичните доказателства за концепция (PoC).

Другата категория се отнася до „инструменти с марката PHP2Shell, които нямат връзка с уязвимостите, а вместо това разчитат на отравяне на сесии (session poisoning) и отделна уязвимост за локално включване на файлове (LFI) в приложението“, споделят изследователите от Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan и Yaron Samuel.

„Нашите наблюдения показват, че само предизвикването на изчерпване на паметта не е достатъчно за завършване на веригата за експлоатация. Разликите в компилациите на PHP, лимитите на паметта и поведението на работните процеси могат да попречат на последващите етапи да сработят. Предизвикателството пред опортюнистичните атакуващи е да превърнат наличните в момента публични PoC в също толкова надеждни оперативни инструменти или да ги разработят сами.“