Критическая уязвимость Commerce Core CVE-2026-118539 уже применяется в реальных атаках, предупредила команда безопасности Drupal. Проблема позволяет неаутентифицированному атакующему обходить ограничения доступа; для интернет-магазина это может означать вмешательство в данные заказов и прямой финансовый ущерб.
Речь идёт о модуле Commerce Core, на котором строят корзины, оформление покупок и API для headless-магазинов на Drupal. По данным BleepingComputer, уязвимость связана с недостаточной защитой отдельных маршрутов и полей сущностей: злоумышленник может получить доступ туда, куда без нужных прав попадать не должен.
Drupal пометил бюллетень как highly critical и отдельно подчеркнул, что эксплуатация уже зафиксирована. Это важная оговорка: командам не нужно гадать, появится ли рабочий эксплойт после публикации advisory. Он уже интересует атакующих, а значит, отложенное обновление превращается из технического долга в измеримый риск для магазина.
Под воздействием находятся ветки Commerce Core 0.0.0–2.41 и 3.0.0–3.3.13. Администраторам, использующим ветку 3.x, Drupal рекомендует немедленно перейти на Commerce Core 3.3.13; для более ранних установок указан Commerce Core 8.x-2.41. После обновления следует не ограничиваться проверкой успешного деплоя, а просмотреть заказы на аномалии: неожиданные изменения статусов, сумм, состава корзины, адресов доставки и других чувствительных полей.
Commerce Core — не нишевый экспериментальный пакет: его используют более чем на 42 тыс. сайтов. Модуль применяется как основа для e-commerce-проектов на Drupal, включая крупные организации, университеты и компании из списка Fortune 500. Поэтому уязвимость Commerce Core касается не только небольших витрин, где обновления делают вручную, но и сложных интеграций с ERP, платёжными сервисами, мобильными приложениями и отдельными фронтендами.
Для разработчиков здесь есть неприятная, но привычная деталь: обновление модуля может затронуть кастомные checkout-flow, API-контракты и переопределённые права доступа. Это не повод ставить патч в бесконечную очередь на регрессию. Разумный порядок действий — определить все инсталляции Commerce Core, проверить используемую ветку, развернуть обновление в тестовой среде, быстро прогнать критический сценарий покупки и выпустить фикс в production. Затем стоит проверить журналы доступа и аудит-логи заказов за период до патча.
Ситуация продолжает тяжёлый для Drupal год. В мае разработчики предупреждали об эксплуатации SQL-инъекции CVE-2026-9082 в API абстракции базы данных, которая могла привести к повышению привилегий, раскрытию данных и удалённому выполнению кода. Через несколько дней CISA внесло её в каталог Known Exploited Vulnerabilities и обязало федеральные ведомства США устранить проблему за три дня. Ещё две недели назад Drupal закрывал две RCE-уязвимости — CVE-2026-108097 и CVE-2026-108099 — и предупреждал, что эксплойты могут появиться в считаные часы или дни.
Для бизнеса это аргумент пересмотреть не только процесс патчинга, но и контроль заказов после инцидента. Обход авторизации опасен тем, что он не обязательно выглядит как громкий взлом сервера: внешне магазин может продолжать принимать платежи и отвечать пользователям, пока в заказах или связанных сущностях появляются несанкционированные изменения. Мониторинг изменений, разделение прав сервисных учётных записей и готовый план отката обновления здесь полезнее очередной презентации о «защищённом периметре».
За последние годы CISA отметило пять уязвимостей Drupal, которые эксплуатировались в реальных атаках; две из них, по данным источника, использовали и вымогательские группы. Новая уязвимость Commerce Core напоминает: в e-commerce критичность определяется не только возможностью захватить сервер. Доступ к одному плохо защищённому маршруту может оказаться достаточно дорогим, если этот маршрут связан с заказом, ценой или правами покупателя.
