Drupal попередив про активне використання в атаках критичної вади CVE-2026-118539 у Commerce Core – додатковому модулі для інтернет-магазинів на Drupal. Проблема не стосується самого ядра Drupal, але зачіпає сайти, де встановлено Commerce Core у вразливих версіях. Компанія оцінила її як Highly critical, або 21 бал із 25.
Вада дає змогу обійти контроль доступу. Простими словами, модуль може недостатньо суворо перевіряти, чи має людина право працювати з окремими частинами магазину або його даними. Drupal зазначає, що наслідки можуть мати фінансовий вплив на продавця.
Які версії Commerce Core потрібно оновити
Уразливими є Commerce Core нижче версії 2.41, а також усі випуски гілки 3.x від 3.0.0 до 3.3.12 включно. Для гілки 3.x Drupal рекомендує встановити Commerce Core 3.3.13. Для попередньої гілки випущено оновлення 8.x-2.41.
Адміністратору магазину варто перевірити саме версію модуля Commerce Core, а не лише версію Drupal. Оновлення потрібне навіть тоді, коли сайт працює без видимих збоїв: Drupal уже повідомляє про використання цієї вади в реальних атаках загалом, хоча це не означає, що кожен уразливий магазин уже зазнав втручання.
Drupal радить переглянути замовлення
Після встановлення виправлення Drupal рекомендує перевірити замовлення на можливі невідповідності. Це пов’язано з характером помилки: коли система неправильно обмежує доступ, ризик стосується не лише технічної конфігурації, а й операцій, що відбуваються в магазині. Перевірка замовлень допоможе виявити нетипові зміни, які могли з’явитися до оновлення.