Злоумышленники атакуют критическую уязвимость в Drupal Commerce Core

Команда Drupal предупредила, что злоумышленники эксплуатируют уязвимость в компоненте Commerce Core, которой присвоен уровень опасности «крайне критическая». Ошибке присвоен идентификатор CVE-2026-118539, оценка по шкале CVSS для неё не указана.

Речь идёт об отсутствии проверки авторизации. Уязвимы версии Commerce Core с 0.0.0 по 2.41 и с 3.0.0 по 3.3.13. В бюллетене Drupal поясняется, что модуль позволяет продавать товары и услуги через встроенную корзину и форму оформления заказа, а также через отдельные приложения с помощью API. По словам разработчиков, модуль недостаточно защищает некоторые маршруты и поля сущностей. Это открывает возможность обхода контроля доступа и может нанести продавцу финансовый ущерб.

Drupal подтвердил, что уязвимость «активно эксплуатируется», однако не сообщил ни характера атак, ни их масштаба. Пользователям рекомендуют обновиться до последней версии ветки 3.x, а для более ранних выпусков — до Commerce Core 8.x-2.41. Об уязвимости сообщили исследователи Дэн Пуччетти, Маркус Юханссон и Роберт Снайдер.

PHP2Shell: атаки продолжаются

Одновременно продолжаются попытки эксплуатировать две критические уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9.2. Вместе их называют PHP2Shell. По данным компании Wiz, принадлежащей Google, на 25 октября доля организаций, серьёзно затронутых PHP2Shell, снизилась до 52,1%.

Wiz выделяет два типа активности. К первому относятся попытки использовать механизм эксплойта PHP2Shell, совпадающие с публичными proof-of-concept. Ко второму — инструменты, которые лишь носят название PHP2Shell, но к самим уязвимостям отношения не имеют. Они используют отравление сессий и отдельную уязвимость локального включения файлов (LFI) в приложении.

Исследователи Wiz отмечают, что одного лишь исчерпания памяти недостаточно, чтобы пройти всю цепочку эксплуатации. Последующим этапам могут помешать различия в сборках PHP, лимиты памяти и поведение рабочих процессов. Поэтому злоумышленникам предстоит превратить публичные PoC в столь же надёжные боевые инструменты или разработать такие инструменты самостоятельно.

Источник: The Hacker News