Злоумышленники атакуют интернет-магазины через уязвимость Drupal Commerce Core
Изображение: OpenAI
Злоумышленники атакуют интернет-магазины через уязвимость CVE-2026-118539 в модуле Drupal Commerce Core. Команда безопасности Drupal 28 октября подтвердила атаки и предупредила, что обход контроля доступа может нанести продавцам финансовый ущерб.
Как пишет SecurityWeek, Commerce Core добавляет на сайты корзину и оформление заказов. По статистике Drupal, модуль используют более 42 тыс. сайтов.
Модуль недостаточно защищает отдельные маршруты и поля сущностей. Воспользоваться уязвимостью можно без входа в систему и при любых настройках модуля. Команда безопасности оценила риск в 21 балл из 25.
Для устранения CVE-2026-118539 администраторам ветки 3.x нужно обновить Commerce Core до 3.3.13, а пользователям более ранних версий — установить 8.x-2.41. Drupal также рекомендует проверить, нет ли несоответствий в заказах магазина.
Разработчики не раскрыли способ эксплуатации и число атакованных сайтов. Не сообщается, кто стоит за атаками и начались ли они до выхода исправлений.
В мае злоумышленники уже пытались эксплуатировать SQL-инъекцию CVE-2026-9082 в ядре Drupal на сайтах с PostgreSQL.
14 октября разработчики Drupal закрыли две уязвимости, позволяющие удалённо выполнять код: CVE-2026-108097 в модуле Field UI и CVE-2026-108099 в Entity List. Их эксплуатация возможна только при наличии определённых сторонних модулей или собственного кода сайта. Публичных сообщений об атаках через эти две ошибки пока нет.
