Sicurezza · 2 novembre 2026
Attori della minaccia sfruttano vulnerabilità critica di Drupal Commerce Core
Drupal ha avvertito che gli attori della minaccia stanno sfruttando una vulnerabilità di sicurezza "altamente critica" nel suo componente Commerce Core.
La vulnerabilità, tracciata come CVE-2026-118539, è un caso di autorizzazione mancante che colpisce le versioni di Commerce Core dalla 0.0.0 alla 2.41 e dalla 3.0.0 alla 3.3.13.
Questo modulo consente di vendere beni e servizi ai clienti attraverso un carrello della spesa e un modulo di checkout inclusi, oppure tramite applicazioni decoupled tramite API, ha dichiarato Drupal in un avviso.
Il modulo non protegge sufficientemente alcune rotte e campi entità, portando a un bypass di accesso che può influenzare finanziariamente il venditore.
Il framework di gestione dei contenuti open-source ha riconosciuto che la vulnerabilità è "attivamente sfruttata sul campo", ma non ha fornito dettagli specifici sulla natura dell'attività o sull'estensione della campagna.
Si raccomanda agli utenti di aggiornare all'ultima versione. Drupal ha accreditato i ricercatori Dan Puccetti, Marcus Johansson e Robert Snyder per aver segnalato il difetto.
Questo sviluppo arriva mentre due vulnerabilità critiche in PHP, tracciate come CVE-2026-109618 e CVE-2026-109619, stanno subendo tentativi di sfruttamento attivo. Secondo i dati di Wiz, posseduta da Google, la percentuale di organizzazioni significativamente colpite da PHP2Shell è scesa al 52.1% al 25 ottobre.