Drupal попередив про активну експлуатацію вразливості CVE-2026-118539 у модулі Commerce Core, який додає сайту кошик і оформлення замовлень. Проблема дозволяє обійти контроль доступу, тобто отримати доступ до окремих дій або даних, для яких сайт зазвичай вимагає належних прав.
У бюлетені SA-CONTRIB-2026-254 Drupal оцінив проблему як highly critical, із ризиком 21 із 25. За оцінкою команди безпеки, атакувальник може використати помилку без входу до магазину, незалежно від налаштувань модуля. Компанія також повідомила, що атаки вже зафіксовані, але не розкрила їхній спосіб, виконавців або кількість сайтів, яких вони торкнулися.
Під ризиком старі випуски двох гілок Commerce Core
Оновлення потрібне магазинам із Commerce Core нижче версії 8.x-2.41, а також із версіями гілки 3.x від 3.0.0 до 3.3.12 включно. Виправлення доступні у релізах 8.x-2.41 і 3.3.13 відповідно.
Причина помилки полягає в недостатньому захисті окремих сторінок сайту та полів із даними магазину. Це не означає автоматичного компрометування кожного сайту, однак Drupal прямо вказує на можливий фінансовий вплив для продавця. Для онлайн-магазину критичними є не лише самі файли сайту, а й коректність операцій, що проходять через оформлення замовлень.
Оновлення варто доповнити звіркою замовлень
Drupal радить після встановлення виправлення перевірити замовлення на невідповідності. Така перевірка потрібна тому, що патч закриває можливість нових атак, але не скасовує змін, які могли бути внесені раніше.
Адміністраторам варто звірити дані в замовленнях із відомостями про оплату та звернути увагу на незвичні операції. Офіційний бюлетень не описує конкретний сценарій зловживання, тому перевірка має охоплювати саме ті записи, від яких залежить виконання та оплата замовлення.