В компоненте Commerce Core обнаружена уязвимость Drupal Commerce, которую злоумышленники уже эксплуатируют в реальных атаках. Проблема затрагивает движки интернет-магазинов на Drupal и может дать атакующему обход проверок доступа к отдельным маршрутам и полям сущностей — с потенциальными финансовыми последствиями для продавца.
Drupal присвоила дефекту идентификатор CVE-2026-118539 и статус «крайне критичного», сообщает The Hacker News. Оценка по шкале CVSS пока не опубликована. По данным разработчиков CMS, причиной стала недостаточная авторизация: Commerce Core не во всех случаях корректно ограничивает доступ к части маршрутов и полей данных.
Commerce Core — модуль, который добавляет Drupal корзину, оформление заказа и базовые механизмы продажи товаров и услуг. Его используют как в обычных магазинах с серверным рендерингом, так и в headless-архитектуре, где витрина или мобильное приложение обращается к бэкенду через API. Поэтому ошибка в проверке прав касается не только административной панели: в зоне риска могут оказаться интеграционные и пользовательские сценарии, завязанные на уязвимые маршруты.
В advisory указаны две затронутые ветки: версии от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13. При этом Drupal рекомендует перейти на актуальные исправленные сборки соответствующих веток: Commerce Core 8.x-2.41 для ранних релизов и Commerce Core 3.3.13 для ветки 3.x. Формулировка с границами версий выглядит неоднозначно, поэтому администраторам лучше не ограничиваться чтением пересказов, а сверить установленный пакет и статус исправления в официальном бюллетене проекта перед развёртыванием обновления.
Подробностей об уже зафиксированных атаках Drupal не раскрыла. Неизвестно, какие именно маршруты используют атакующие, какие роли или предварительные условия требуются и есть ли подтверждённые случаи компрометации магазинов. Но сама формулировка об активной эксплуатации меняет приоритет: это не задача для очередного планового окна обновлений, а повод немедленно проверить инвентаризацию Commerce Core и процедуру патчинга.
Для команд разработки практический минимум выглядит так: определить, установлен ли Commerce Core и какая ветка используется; проверить все среды, а не только production; обновить компонент по инструкции Drupal; после релиза просмотреть журналы обращений к API, административным и checkout-маршрутам на аномальные действия. Отдельно стоит проверить кастомные модули и decoupled-клиенты, которые могли опираться на нестандартные правила доступа. Обновление закрывает известную проблему, но не отменяет необходимость искать следы действий, совершённых до установки патча.
Для бизнеса риск выходит за рамки типового «сайта на CMS». Обход авторизации в торговом компоненте способен затронуть данные заказов, операции, связанные с корзиной и оформлением покупки, а также внутренние процессы, если доступ к ним построен вокруг тех же сущностей и API. Масштаб реального ущерба по CVE-2026-118539 пока не назван, и приписывать ей конкретный сценарий атаки было бы преждевременно. Однако компаниям с интернет-продажами разумно подключить к проверке не только веб-разработчиков, но и владельцев платёжных и заказных процессов.
Новость появилась на фоне активных попыток эксплуатации двух критических проблем PHP, известных как PHP2Shell: исследователи Wiz фиксировали как атаки с публичными PoC, так и инструменты с тем же названием, использующие отравление сессий и другую LFI-уязвимость. Это не доказательство связи между кампаниями, а напоминание о неприятной закономерности: публичный код и неполные обновления быстро превращают ошибки веб-стека в рабочий инструмент для массового сканирования.
Главный вопрос теперь не в том, появится ли технический разбор этой уязвимости Drupal Commerce, а в том, успеют ли владельцы магазинов закрыть её до того, как информация об эксплуатации станет достаточно подробной для повторения. Чем заметнее Commerce Core встроен в API и бизнес-логику магазина, тем важнее рассматривать патч как начало проверки, а не как её финал.
