Drupal предупредила об активной эксплуатации уязвимости в Commerce Core
Разработчики Drupal предупредили, что злоумышленники уже эксплуатируют критическую уязвимость CVE-2026-118539 в модуле Commerce Core, который используется для создания интернет-магазинов. Пользователям рекомендовано обновить модуль до последней версии.
Главное в цифрах
- Уязвимость: CVE-2026-118539
- Уязвимые версии: от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13
- Доля организаций, затронутых PHP2Shell, на 25 октября: 52,1%
Уязвимость связана с отсутствием проверки прав доступа. Модуль недостаточно защищает отдельные маршруты и поля сущностей, из-за чего возможен обход ограничений доступа. Под удар попадают версии от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.
Drupal подтвердила, что уязвимость активно используется в реальных атаках, но не раскрыла подробностей о характере атак и их масштабе. По оценке разработчиков, эксплуатация может нанести финансовый ущерб владельцам магазинов.
Кто нашёл уязвимость
Уязвимость обнаружили исследователи Dan Puccetti, Marcus Johansson и Robert Snyder. Drupal указала их в качестве авторов сообщения об уязвимости.
Отдельно в источнике упоминается, что в те же дни активно эксплуатируются две критические уязвимости в PHP, CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell. По данным Wiz, по состоянию на 25 октября доля затронутых организаций снизилась до 52,1%.
