Aktivna eksploatacija propusta u Drupal Commerce Core
Drupal je upozorio na aktivnu zloupotrebu kritične ranjivosti CVE-2026-118539 u komponenti Commerce Core. Propust pogađa izdanja od 0.0.0 do 2.41 i od 3.0.0 do 3.3.13, a Drupal korisnicima preporučuje nadogradnju na Commerce Core 3.3.13 u grani 3.x, odnosno na 8.x-2.41 u starijim izdanjima.
Reč je o nedostajućoj autorizaciji, odnosno o situaciji u kojoj modul ne štiti dovoljno određene rute i polja entiteta. Posledica može biti zaobilaženje kontrole pristupa, a Drupal navodi da takav pristup može finansijski uticati na prodavca.
Rizik za prodajne tokove i API integracije
Commerce Core omogućava prodaju robe i usluga kroz ugrađenu korpu i obrazac za naplatu, ali i kroz odvojene aplikacije koje koriste API-je. Zato procena izloženosti ne treba da se ograniči samo na javni korisnički interfejs prodavnice: obuhvat mora uključiti i aplikacije, integracije i radne tokove koji pristupaju Commerce Core entitetima.
Drupal je potvrdio da se ranjivost aktivno iskorišćava, ali nije objavio tehnički opis napada niti podatke o obimu kampanje. Prijavu propusta potpisuju istraživači Dan Puccetti, Marcus Johansson i Robert Snyder.
Preporučeni koraci za vlasnike Drupal prodavnica
Prvi korak je utvrđivanje verzije Commerce Core modula na svim Drupal instancama. Sistemi na grani 3.x treba da budu nadograđeni na 3.3.13, dok za starija izdanja Drupal navodi izdanje 8.x-2.41. Pri planiranju promene važno je obuhvatiti i okruženja za testiranje, pomoćne sajtove i decoupled aplikacije povezane preko API-ja.
Nakon nadogradnje, korisno je proveriti ko ima pristup rutama i poljima koja učestvuju u porudžbinama, naplati i upravljanju entitetima. Posebnu pažnju zaslužuju neuobičajene izmene naloga, porudžbina ili podataka kojima pristupaju integrisani sistemi, jer javno dostupni detalji o aktivnosti napadača nisu objavljeni.
Za poslovanje je najvažnije da se ova nadogradnja tretira kao hitan zadatak upravljanja rizikom: ažuriranje Commerce Core-a, provera povezanih tokova i pregled prava pristupa smanjuju izloženost sistemima koji podržavaju prodaju i naplatu.