---
title: 黑客积极利用Drupal Commerce Core授权绕过漏洞
url: https://www.dataloco.com/zh/drupal-commerce-core
published: 2026-11-02T06:27:09+00:00
language: zh
section: 安全
source: https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html
organizations: Drupal, PHP, CVE-2026-118539, CVE-2026-109618, CVE-2026-109619, Wiz
publisher: Dataloco
---

# 黑客积极利用Drupal Commerce Core授权绕过漏洞

Drupal警告称，威胁行为者正在利用其Commerce Core组件中的一个“高度关键”的安全漏洞。该漏洞被追踪为CVE-2026-118539，属于缺失授权，影响Commerce Core版本从0.0.0到2.41以及从3.0.0到3.3.13。

Drupal在一份通知中表示：“该模块使您能够通过包括的购物车和结账表单或通过API的解耦应用程序向客户销售商品和服务。”

“该模块未能充分保护某些路由和实体字段，导致访问绕过，可能对供应商造成财务影响。”

该开源内容管理框架承认，该漏洞正在“积极在野外被利用”，但未提供有关活动性质或活动范围的具体信息。

建议用户更新到最新版本。Drupal还称赞了报告该漏洞的研究人员Dan Puccetti、Marcus Johansson和Robert Snyder。

与此同时，两个关键的PHP漏洞CVE-2026-109618和CVE-2026-109619（CVSS分数：9.2）也正在经历活跃的利用尝试。根据谷歌旗下Wiz的数据，截至10月25日，受到PHP2Shell显著影响的组织比例已降至52.1%。

## This story in other languages

- [日本語](https://www.dataloco.com/ja/drupal)
- [한국어](https://www.dataloco.com/ko/story-96)