Drupal предупредил об активной эксплуатации уязвимости CVE-2026-118539 в Commerce Core. Ошибка позволяет обходить авторизацию при обращении к некоторым маршрутам и полям сущностей. Drupal назвал её «крайне критичной»; оценка CVSS в опубликованных данных отсутствует. Успешная атака может нанести финансовый ущерб владельцу сайта.
Commerce Core — модуль для продажи товаров и услуг через корзину и оформление заказа. Его также используют в приложениях с разделённой архитектурой, где взаимодействие с магазином идёт через API.
Уязвимы версии Commerce Core с 0.0.0 по 2.41 и с 3.0.0 по 3.3.13. Drupal сообщил, что брешь «активно эксплуатируется в реальных атаках», но не раскрыл ни подробностей кампании, ни её масштаба.
В рекомендациях есть несоответствие: версия 3.3.13 указана и среди затронутых, и как целевая для обновления ветки 3.x. Для этой ветки советуют перейти на Commerce Core 3.3.13; пользователям более ранних версий — на 8.x-2.41. Перед обновлением стоит сверить инструкции с актуальным бюллетенем Drupal, особенно если сайт работает на 3.3.13.
Об уязвимости сообщили исследователи Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) и Robert Snyder (rsnyd). Пока Drupal не сообщил о конкретных способах атаки, владельцам магазинов разумно проверить установленную версию и журналы доступа к сайту.
Параллельно фиксируют попытки эксплуатации двух критических уязвимостей PHP — CVE-2026-109618 и CVE-2026-109619, известных под общим названием PHP2Shell. Каждой присвоена оценка CVSS 9,2. По данным Wiz, облачной компании кибербезопасности, принадлежащей Google, на 25 октября PHP2Shell серьёзно затронула 52,1% организаций.
Wiz наблюдала два разных вида активности. В первом случае атакующие применяли механизм PHP2Shell, похожий на общедоступные демонстрационные эксплойты PoC. Во втором использовались инструменты с маркировкой «PHP2Shell», которые к этим уязвимостям отношения не имеют: они опирались на отравление сессий и отдельную уязвимость локального включения файлов (LFI) в приложении.
Исследователи Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan и Yaron Samuel отмечают: одного истощения памяти недостаточно, чтобы завершить цепочку эксплуатации. Последующие этапы зависят от особенностей сборки PHP, лимитов памяти и поведения рабочих процессов. Поэтому публичный PoC не обязательно превращается в надёжный инструмент атаки: злоумышленникам приходится адаптировать его под конкретную среду или писать собственный эксплойт.
Изображение носит иллюстративный характер
Commerce Core — модуль для продажи товаров и услуг через корзину и оформление заказа. Его также используют в приложениях с разделённой архитектурой, где взаимодействие с магазином идёт через API.
Уязвимы версии Commerce Core с 0.0.0 по 2.41 и с 3.0.0 по 3.3.13. Drupal сообщил, что брешь «активно эксплуатируется в реальных атаках», но не раскрыл ни подробностей кампании, ни её масштаба.
В рекомендациях есть несоответствие: версия 3.3.13 указана и среди затронутых, и как целевая для обновления ветки 3.x. Для этой ветки советуют перейти на Commerce Core 3.3.13; пользователям более ранних версий — на 8.x-2.41. Перед обновлением стоит сверить инструкции с актуальным бюллетенем Drupal, особенно если сайт работает на 3.3.13.
Об уязвимости сообщили исследователи Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) и Robert Snyder (rsnyd). Пока Drupal не сообщил о конкретных способах атаки, владельцам магазинов разумно проверить установленную версию и журналы доступа к сайту.
Параллельно фиксируют попытки эксплуатации двух критических уязвимостей PHP — CVE-2026-109618 и CVE-2026-109619, известных под общим названием PHP2Shell. Каждой присвоена оценка CVSS 9,2. По данным Wiz, облачной компании кибербезопасности, принадлежащей Google, на 25 октября PHP2Shell серьёзно затронула 52,1% организаций.
Wiz наблюдала два разных вида активности. В первом случае атакующие применяли механизм PHP2Shell, похожий на общедоступные демонстрационные эксплойты PoC. Во втором использовались инструменты с маркировкой «PHP2Shell», которые к этим уязвимостям отношения не имеют: они опирались на отравление сессий и отдельную уязвимость локального включения файлов (LFI) в приложении.
Исследователи Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan и Yaron Samuel отмечают: одного истощения памяти недостаточно, чтобы завершить цепочку эксплуатации. Последующие этапы зависят от особенностей сборки PHP, лимитов памяти и поведения рабочих процессов. Поэтому публичный PoC не обязательно превращается в надёжный инструмент атаки: злоумышленникам приходится адаптировать его под конкретную среду или писать собственный эксплойт.
