Drupal: критична вада в модулі Commerce Core, вже фіксують атаки
У модулі Commerce Core для Drupal виявили критичну уразливість обходу доступу, яку вже використовують зловмисники. Команда безпеки закликає терміново оновитися та перевірити замовлення.
Drupal повідомив про критичну уразливість у модулі Commerce Core (CVE-2026-118539), яку зловмисники вже експлуатують, і закликав адміністраторів негайно оновитися та провести аудит замовлень на некоректні операції.
Що відомо
Помилка класифікується як access bypass і спричинена недостатнім контролем авторизації на окремих маршрутах і полях сутностей. Її можуть зловживати навіть неавтентифіковані користувачі, що несе ризик фінансових втрат для продавців.
Проблема стосується версій Commerce Core 0.0.0–2.41 та 3.0.0–3.3.13. За даними команди безпеки Drupal, уразливість активно використовують під час атак.
Оновлення і рекомендації
Адміністраторам на гілці 3.x радять негайно перейти на Commerce Core 3.3.13. Для старіших розгортань пропонують оновитися до Commerce Core 8.x-2.41. Також рекомендується перевірити замовлення на будь-які невідповідності або ознаки шахрайства.
Повідомлення послідовно перераховує уразливі версії й рекомендовані для оновлення версії (3.3.13 для гілки 3.x і 8.x-2.41 для старіших гілок).
Кого зачіпає
Commerce Core — спільнотний модуль для побудови сайтів і застосунків електронної комерції поверх CMS Drupal. Він надає кошик, оформлення замовлень і API для відокремлених фронтендів. Нині модуль використовують понад 42 тис. вебсайтів, серед них компанії з переліку Fortune 500 та дослідницькі університети.
Контекст безпеки Drupal
У травні Drupal попереджав про експлуатацію вразливості SQL‑інʼєкції в API абстракції бази даних (CVE-2026-9082), що могла призвести до підвищення привілеїв, розкриття даних і віддаленого виконання коду. Невдовзі CISA додала її до каталогу Known Exploited Vulnerabilities і зобовʼязала федеральні установи виправити системи протягом трьох днів.
Два тижні тому Drupal закрив ще дві уразливості віддаленого виконання коду (CVE-2026-108097 і CVE-2026-108099) та закликав оновлюватися якнайшвидше, адже експлойти можуть зʼявитися «за години або дні». За останні роки CISA відзначила пʼять уразливостей Drupal, що експлуатувалися в реальному світі; дві з них використовували й угруповання, повʼязані з програмами‑вимагачами.
