Drupal предупредил об эксплуатации злоумышленниками «крайне критической» уязвимости безопасности в компоненте Commerce Core. Уязвимость, отслеживаемая как CVE-2026-118539 (оценка CVSS: N/A), представляет собой отсутствие авторизации и затрагивает версии Commerce Core от 0.0.0 до 2.41 и от 3.0.0 до 3.3.13. «Этот модуль позволяет продавать товары и услуги клиентам с помощью встроенной корзины и формы оформления заказа или через децентрализованные приложения с использованием API», — говорится в уведомлении Drupal. «Модуль недостаточно защищает определенные маршруты и поля сущностей, что приводит к обходу доступа и может иметь финансовые последствия для поставщика». Drupal признал, что уязвимость «активно эксплуатируется в реальных условиях», но не предоставил подробностей о характере активности или масштабах кампании. Пользователям рекомендуется обновиться до последней версии. Drupal выразил благодарность исследователям Дэну Пуччетти (dpuccetti), Маркусу Йоханссону (marcus_johansson) и Роберту Снайдеру (rsnyd) за сообщение об уязвимости. Это произошло на фоне активных попыток эксплуатации двух критических уязвимостей в PHP, отслеживаемых как CVE-2026-109618 и CVE-2026-109619 (оценки CVSS: 9.2), совместно известных как PHP2Shell. По данным Google-owned Wiz, по состоянию на 25 октября процент организаций, значительно затронутых PHP2Shell, снизился до 52,1%. Компания по облачной безопасности сообщила, что наблюдала два типа активности: попытки использования механизма эксплойта PHP2Shell, соответствующие общедоступным эксплойтам proof-of-concept (PoC), и использование инструментов под брендом PHP2Shell, не связанных с уязвимостями, которые полагались на отравление сеансов и отдельную уязвимость локального включения файлов (LFI) в приложении, как заявили исследователи Wiz Яара Шрики, Шахар Дорфман, Альма Блахсан и Ярон Самуэль. «Наши наблюдения показывают, что исчерпания памяти само по себе недостаточно для завершения цепочки эксплойта. Различия в сборках PHP, лимитах памяти и поведении рабочих процессов могут помешать последующим этапам. Задача для злоумышленников — превратить общедоступные PoC в надежные операционные инструменты или разработать их самостоятельно».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
