Drupal исправляет критическую уязвимость в модуле Commerce Core

Команда безопасности Drupal выпустила экстренное предупреждение для администраторов сайтов, призывая немедленно установить исправление для критической уязвимости в модуле Commerce Core. Данная проблема безопасности уже активно эксплуатируется злоумышленниками в реальных атаках. Уязвимости присвоен идентификатор CVE-2026-118539, и она классифицируется как проблема обхода системы контроля доступа.

• Уязвимость CVE-2026-118539 затрагивает версии Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13.
• Проблема связана с недостаточной авторизацией, которой могут воспользоваться неаутентифицированные злоумышленники.
• Модуль используется более чем на 42 000 веб-сайтов, включая компании из списка Fortune 500 и исследовательские университеты.

Детали уязвимости и масштаб угрозы

Уязвимость возникает из-за недостаточной защиты определенных маршрутов и полей сущностей внутри модуля Commerce Core, что приводит к обходу контроля доступа. Это может нанести прямой финансовый ущерб владельцам интернет-магазинов, так как модуль отвечает за продажу товаров и услуг, работу корзины покупок, оформление заказов и взаимодействие через API. Поскольку эксплойты уже применяются на практике, разработчики настоятельно рекомендуют провести полный аудит заказов на предмет возможных несоответствий и несанкционированных манипуляций.

Модуль Commerce Core представляет собой популярный каркас с открытым исходным кодом для создания платформ электронной коммерции на базе CMS Drupal. Его используют более 42 000 ресурсов по всему миру. Команда Drupal требует от администраторов версий ветки 3.x срочно обновиться до версии 3.3.13, а пользователей более ранних веток перевести на Commerce Core 8.x-2.41, чтобы предотвратить финансовые потери и компрометацию торговых площадок.

Предыдущие инциденты безопасности в Drupal

В последнее время экосистема Drupal сталкивается с повышенным вниманием со стороны злоумышленников и регулярным обнаружением опасных уязвимостей. В мае текущего года администраторов предупреждали об SQL-инъекции (CVE-2026-9082) в базе данных API, которая вела к повышению привилегий и удаленному выполнению кода. Позже американское агентство CISA внесло эту брешь в каталог эксплуатируемых уязвимостей, обязав федеральные ведомства закрыть ее в сжатые сроки.

Кроме того, две недели назад Drupal закрыл еще две уязвимости удаленного выполнения кода (CVE-2026-108097 и CVE-2026-108099), предупредив о высоком риске появления готовых эксплойтов в течение нескольких часов или дней. За последние годы CISA фиксировала как минимум пять серьезных уязвимостей в Drupal, которые активно применялись в атаках, причем некоторые из них брали на вооружение даже группировки вымогателей.

Что это значит для веб-мастеров и владельцев бизнеса

Для владельцев интернет-магазинов, использующих связку Drupal и Commerce Core, обнаружение этой уязвимости означает немедленную финансовую и репутационную угрозу. Эксплуатация бреши позволяет обходить механизмы авторизации без предварительной аутентификации, что дает злоумышленникам возможность вмешиваться в торговые операции. Администраторам корпоративных сайтов и разработчикам необходимо незамедлительно установить официальные патчи и проверить системные логи на предмет подозрительной активности в оформлении заказов.