Drupal waarschuwt dat dreigingsactoren een “zeer kritieke” beveiligingsfout in zijn Commerce Core-component misbruiken.
De kwetsbaarheid, geregistreerd als CVE-2026-118539 (CVSS-score: N.v.t.), betreft ontbrekende autorisatie en treft Commerce Core-versies van 0.0.0 tot 2.41 en van 3.0.0 tot 3.3.13.
“Deze module stelt je in staat goederen en diensten aan klanten te verkopen via een meegeleverde winkelwagen en afrekenformulier of via gedecouplede toepassingen via API’s,” schreef Drupal in een advies.
“De module beschermt bepaalde routes en entiteitvelden niet voldoende, wat leidt tot een toegangsomzeiling die financiële gevolgen voor de verkoper kan hebben.”
Het open source contentmanagementframework erkende dat de kwetsbaarheid “actief misbruikt wordt in het wild”, maar gaf geen details over de aard van de activiteiten of de omvang van de campagne.
Gebruikers wordt aangeraden te updaten naar de nieuwste versie:
- Versie 3.x – upgrade naar Commerce Core 3.3.13
- Vorigere versies – upgrade naar Commerce Core 8.x-2.41
Drupal geeft erkenning aan de onderzoekers Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) en Robert Snyder (rsnyd) voor het melden van de kwetsbaarheid.
Deze ontwikkeling komt terwijl twee kritieke kwetsbaarheden in PHP, geregistreerd als CVE-2026-109618 en CVE-2026-109619 (CVSS-scores: 9.2) en gezamenlijk aangeduid als PHP2Shell, actieve exploitpogingen in het wild ondervinden.
Vanaf 25 oktober is het percentage organisaties dat aanzienlijk door PHP2Shell wordt getroffen gedaald tot 52,1%, volgens gegevens van door Google eigendom bedrijf Wiz.
Het cloudbeveiligingsbedrijf zei dat het tot nu toe twee typen activiteiten heeft waargenomen, waaronder pogingen die het PHP2Shell-exploitmechanisme gebruiken en overeenkomen met publieke proof-of-concept (PoC)-exploits.
De andere categorie verwijst naar “PHP2Shell-gebrandmerkte tools die niet gerelateerd zijn aan de kwetsbaarheden en in plaats daarvan vertrouwden op session poisoning en een afzonderlijke local file inclusion (LFI)-kwetsbaarheid in de applicatie,” zeiden Wiz-onderzoekers Yaara Shriki, Shahar Dorfman, Alma Blachsan en Yaron Samuel.
“Onze observaties laten zien dat het alleen veroorzaken van geheugenuitputting niet voldoende is om de volledige exploit-keten te voltooien. Verschillen in PHP-builds, geheugenlimieten en het gedrag van workers kunnen voorkomen dat latere fasen werken. De uitdaging voor opportunistische aanvallers is publieke PoC’s om te zetten naar even betrouwbare operationele tooling of deze zelf te ontwikkelen.”
