Vulnerabilitatea de ocolire a autorizării din Drupal Commerce Core este exploatată activ

Magazinele online construite pe Drupal au de aplicat un patch urgent. Echipa de securitate Drupal a confirmat că o slăbiciune de control al accesului clasificată „highly critical” în modulul Commerce Core, identificată ca CVE-2026-118539, este deja exploatată în mod activ.

Ce s-a întâmplat

Commerce Core este modulul care transformă un site Drupal într-un magazin. El oferă coșul de cumpărături și fluxul de finalizare a comenzii și, în același timp, expune datele comerciale către front-end-uri decuplate prin API-uri. Vulnerabilitatea este o lipsă a autorizării: anumite rute și câmpuri de entitate nu sunt protejate suficient, astfel încât cereri care ar trebui respinse sunt procesate. Drupal descrie rezultatul drept o ocolire a accesului care poate avea impact financiar asupra comerciantului, ceea ce, într-un context de e-commerce, înseamnă comenzi, prețuri sau date ale clienților citite ori modificate de cineva care nu are niciun drept să le atingă.

Sunt afectate toate versiunile Commerce Core anterioare lui 8.x-2.41 pe ramura veche și toate versiunile 3.x anterioare lui 3.3.13. Nu a fost publicat încă un scor CVSS, dar calificativul „highly critical” acordat de Drupal se află aproape de vârful propriei scale de severitate.

Drupal a declarat că exploatarea este deja în desfășurare, însă nu a oferit detalii despre cine se află în spatele activității, cât de răspândită este sau ce fac atacatorii după o ocolire reușită. Tratați această tăcere ca pe un motiv de a acționa mai repede, nu mai încet.

De ce contează

Trei lucruri fac acest caz incomod:

• Ținta sunt banii. O ocolire a autorizării într-un sistem de checkout poate fi monetizată imediat: manipularea prețurilor, modificarea comenzilor sau colectarea discretă a datelor despre clienți și plăți.
• Suprafața de atac este adesea invizibilă pentru proprietarul magazinului. Vitrinele decuplate și integrările headless comunică cu Commerce Core prin API-uri care rareori sunt monitorizate la fel de atent ca paginile publice.
• Site-urile de e-commerce se actualizează lent. Magazinele evită să atingă producția în perioadele aglomerate, iar sfârșitul lui octombrie marchează startul sezonului de vârf pentru mulți retaileri. Atacatorii știu asta.

Contextul mai larg: PHP

Avertismentul Drupal vine într-un moment în care PHP însuși este sub presiune. Două vulnerabilități critice din runtime-ul PHP, CVE-2026-109618 și CVE-2026-109619 (ambele cu CVSS 9.2, cunoscute colectiv drept PHP2Shell), înregistrează și ele tentative de exploatare. Datele de expunere disponibile sugerează că puțin peste jumătate dintre organizații (52,1%) erau încă semnificativ afectate la 25 octombrie. Este mai puțin decât la începutul lunii, dar tot mult prea mult.

Activitatea observată se împarte în două categorii: tentative care urmează mecanismul exploit-ului public de tip proof-of-concept și unelte oportuniste „marcate” PHP2Shell, care se bazează de fapt pe otrăvirea sesiunilor și pe o vulnerabilitate separată de includere locală de fișiere, nu pe noile CVE-uri. Exploatarea fiabilă este mai grea decât sugerează zgomotul, pentru că diferențele dintre build-urile PHP, limitele de memorie și comportamentul worker-ilor pot bloca etapele ulterioare ale lanțului. Acesta este însă un factor de întârziere, nu o apărare. Cum Drupal rulează pe PHP, un magazin rămas în urmă pe ambele fronturi este dublu expus.

Ce este de făcut

1. Actualizați Commerce Core acum. Site-urile de pe ramura 3.x trec la 3.3.13; cele de pe ramura veche trec la 8.x-2.41. Programați fereastra de mentenanță azi, nu în sprintul următor.
2. Aplicați patch-urile și la PHP. Confirmați că runtime-ul include corecțiile pentru CVE-2026-109618 și CVE-2026-109619, inclusiv pe serverele de staging și de build.
3. Verificați jurnalele comerciale pentru fereastra de exploatare. Căutați cereri neautentificate sau cu privilegii reduse către rutele și endpoint-urile API de comenzi, coș, plăți sau produse, precum și modificări neașteptate de prețuri, promoții sau stări ale comenzilor.
4. Presupuneți manipularea până la proba contrarie. Dacă nu puteți exclude abuzul câmpurilor expuse, revalidați comenzile recente și rotiți orice credențiale sau chei API stocate în configurația de comerț.
5. Inventariați fiecare instanță Drupal. Magazinul de staging uitat sau vitrina regională care rulează un Commerce Core vechi este cea mai probabilă victimă.

Exact pentru astfel de vulnerabilități există scanarea continuă de vulnerabilități. Scanarea noastră identifică modulele Drupal și versiunile PHP învechite din întregul vostru perimetru web și le corelează cu CVE-urile exploatate activ, astfel încât un avertisment „highly critical” devine un tichet prioritizat, nu un raport de incident.