安全 · 2026年11月2日
黑客积极利用Drupal Commerce Core授权绕过漏洞
Drupal警告称，威胁行为者正在利用其Commerce Core组件中的一个“高度关键”的安全漏洞。该漏洞被追踪为CVE-2026-118539，属于缺失授权，影响Commerce Core版本从0.0.0到2.41以及从3.0.0到3.3.13。
Drupal在一份通知中表示：“该模块使您能够通过包括的购物车和结账表单或通过API的解耦应用程序向客户销售商品和服务。”
“该模块未能充分保护某些路由和实体字段，导致访问绕过，可能对供应商造成财务影响。”
该开源内容管理框架承认，该漏洞正在“积极在野外被利用”，但未提供有关活动性质或活动范围的具体信息。
建议用户更新到最新版本。Drupal还称赞了报告该漏洞的研究人员Dan Puccetti、Marcus Johansson和Robert Snyder。
与此同时，两个关键的PHP漏洞CVE-2026-109618和CVE-2026-109619（CVSS分数：9.2）也正在经历活跃的利用尝试。根据谷歌旗下Wiz的数据，截至10月25日，受到PHP2Shell显著影响的组织比例已降至52.1%。