Drupal предупреждает об эксплуатации обхода авторизации в Commerce Core

Drupal предупредил об активной эксплуатации критической уязвимости CVE-2026-118539 в модуле Commerce Core. Ошибка затрагивает версии от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13; для устранения проблемы доступны Commerce Core 3.3.13 и 8.x-2.41.

Недостаточная проверка прав доступа

Commerce Core используется для продажи товаров и услуг через встроенные корзину и форму оформления заказа, а также в отделённых приложениях, работающих через API. Drupal классифицировал проблему как highly critical и сообщил, что она эксплуатируется в реальных атаках.

Причина уязвимости — недостаточная защита некоторых маршрутов и полей сущностей. Это может привести к обходу авторизации и, как указано в бюллетене Drupal, потенциально повлиять на финансы продавца.

Идентификатор CVE-2026-118539 не сопровождается оценкой CVSS в опубликованном уведомлении. Drupal не раскрыл ни технические детали эксплуатации, ни масштаб кампании, поэтому организациям следует исходить из подтверждённого факта активности злоумышленников.

Какие версии нужно установить

Пользователям ветки 3.x Drupal рекомендует перейти на Commerce Core 3.3.13. Для более ранних выпусков рекомендовано обновление до Commerce Core 8.x-2.41. Обе версии названы в уведомлении как исправленные варианты.

• Определить, используется ли Commerce Core в интернет-магазинах и связанных API.
• Сверить установленную версию с затронутыми диапазонами.
• Запланировать обновление до рекомендованного выпуска Drupal.

Об уязвимости сообщили исследователи Dan Puccetti, Marcus Johansson и Robert Snyder. Уведомление появилось на фоне попыток эксплуатации двух критических уязвимостей PHP, известных под общим названием PHP2Shell, однако Drupal не связывает эти события между собой.

Что это означает для владельцев магазинов

Для бизнеса первоочередная задача — не откладывать проверку компонентов электронной коммерции: Drupal уже подтвердил эксплуатацию ошибки. Нужно проверить затронутые установки Commerce Core и применить указанное обновление в рамках стандартной процедуры управления изменениями.