Drupal предупредил администраторов о необходимости исправить критическую уязвимость обхода контроля доступа в модуле Commerce Core, которой пользуются злоумышленники.
Эта уязвимость, обозначенная как CVE-2026-118539, связана с недостаточной авторизацией, которой могут воспользоваться злоумышленники, не прошедшие аутентификацию. Уязвимость затрагивает версии Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.
Команда безопасности Drupal попросила администраторов ветки 3.x* немедленно выполнить обновление до Commerce Core 3.3.13 (или Commerce Core 8.x*-2.41 для более ранних версий) и провести аудит заказов на предмет несоответствий, поскольку субъекты угрозы используют эту уязвимость в атаках.
«Этот модуль позволяет вам продавать товары и услуги клиентам через включенную корзину покупок и форму оформления заказа или через отдельные приложения через API», — сказал Drupal в рекомендации, опубликованной в среду, отмеченной как крайне важная.
«Модуль недостаточно защищает определенные маршруты и поля сущностей, что приводит к обходу доступа, что может оказать финансовое воздействие на поставщика. Эта уязвимость активно используется злоумышленниками.»
Commerce Core — это разработанный сообществом модуль Drupal, который используют более 42 000 веб-сайтов, в том числе многие известные организации, такие как компании из списка Fortune 500 и исследовательские университеты.
Модуль представляет собой программную среду для создания и запуска сайтов электронной коммерции и приложений для покупок на базе системы управления контентом (CMS) Drupal.
В мае компания Drupal также предупредила, что злоумышленники используют уязвимость SQL-инъекции (CVE-2026-9082) в API абстракции базы данных, которая может привести к повышению привилегий, раскрытию информации и удаленному выполнению кода.
Спустя несколько дней Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные агентства установить исправления в своих системах в течение трех дней.
Две недели назад в Drupal были устранены еще две проблемы с безопасностью, связанные с удаленным выполнением кода (CVE-2026-108097 и CVE-2026-108099), которые могли позволить злоумышленникам удаленно выполнять код, и мы призвали администраторов как можно скорее установить обновления, поскольку злоумышленники могут разработать эксплойты «в течение нескольких часов или дней».
За последние несколько лет CISA обнаружила 5 уязвимостей в Drupal, которые использовались злоумышленниками, причем две из них также использовались группировками, занимающимися программами-вымогателями.
