Beveiliging · 2 november 2026
Hackers Exploiteren Hoog Kritieke Drupal Commerce Core Autorisatie Bypass Kwetsbaarheid
Drupal heeft gewaarschuwd dat bedreigingsactoren een "hoog kritieke" beveiligingskwetsbaarheid in zijn Commerce Core-component exploiteren.
De kwetsbaarheid, getraceerd als CVE-2026-118539, betreft een geval van ontbrekende autorisatie dat Commerce Core-versies van 0.0.0 tot 2.41 en van 3.0.0 tot 3.3.13 beïnvloedt.
"Deze module stelt u in staat om goederen en diensten aan klanten te verkopen via een inbegrepen winkelwagentje en afrekensysteem of via ontkoppelde applicaties via API's," aldus Drupal in een waarschuwing.
"De module beschermt bepaalde routes en entiteitvelden niet voldoende, wat leidt tot een toegangsovertreding die financiële gevolgen kan hebben voor de verkoper."
Het open-source contentmanagementsysteem erkende dat de kwetsbaarheid "actief wordt geëxploiteerd in het wild," maar gaf geen specificaties over de aard van de activiteit of de omvang van de campagne.
Gebruikers worden aangeraden om te updaten naar de laatste versie.
Drupal heeft onderzoekers Dan Puccetti, Marcus Johansson en Robert Snyder erkend voor het rapporteren van de kwetsbaarheid.
Deze ontwikkeling komt terwijl twee kritieke kwetsbaarheden in PHP, getraceerd als CVE-2026-109618 en CVE-2026-109619, actieve exploitatiepogingen in het wild ondergaan.