Drupal закликав терміново оновити Commerce Core через активні атаки

Drupal закликав адміністраторів терміново встановити оновлення для модуля Commerce Core через критичну вразливість обходу контролю доступу, яку зловмисники вже використовують в атаках. Проблему відстежують під ідентифікатором CVE-2026-118539. Вона може бути використана неавтентифікованими атакувальниками.

Як повідомляє BBC News, вразливість пов’язана з недостатнім захистом окремих маршрутів і полів сутностей у модулі. У Drupal попередили, що це створює можливість обходу обмежень доступу та може мати фінансові наслідки для продавців.

Які версії зачеплені

Проблема стосується версій Commerce Core від 0.0.0 до 2.41, а також версій від 3.0.0 до 3.3.13. Команда безпеки Drupal рекомендувала користувачам гілки 3.x негайно перейти на Commerce Core 3.3.13. Для попередніх версій рекомендовано оновлення до Commerce Core 8.x-2.41.

Адміністраторам також порадили перевірити замовлення на можливі невідповідності, оскільки вразливість уже експлуатується. Commerce Core — розроблений спільнотою модуль для створення інтернет-магазинів і торгових застосунків на базі CMS Drupal. Він дає змогу продавати товари та послуги через кошик і форму оформлення замовлення або через API у децентралізованих застосунках.

Модуль використовують тисячі сайтів

За даними Drupal, Commerce Core застосовують понад 42 тисячі вебсайтів, зокрема організації зі списку Fortune 500 та дослідницькі університети. У травні Drupal також попереджав про експлуатацію SQL-ін’єкції CVE-2026-9082 в API абстракції баз даних. Вона могла призвести до підвищення привілеїв, розкриття інформації та віддаленого виконання коду.

Двома тижнями раніше Drupal усунув ще дві вразливості віддаленого виконання коду — CVE-2026-108097 і CVE-2026-108099 — та закликав якнайшвидше встановити виправлення.