Drupal Commerce Core: ocolire critică a autorizării, exploatată

Miercuri, 28 octombrie 2026, echipa de securitate Drupal a publicat un aviz clasificat „highly critical” pentru Commerce Core, modulul care adaugă unui site Drupal funcțiile de magazin online: catalog, coș de cumpărături, checkout și API-uri pentru aplicațiile decuplate. Vulnerabilitatea, înregistrată ca CVE-2026-118539, este o ocolire a autorizării (access bypass) care, potrivit avizului însuși, este deja exploatată în atacuri reale. Au relatat despre ea BleepingComputer, The Hacker News și SecurityWeek.

Commerce Core este un modul dezvoltat de comunitate și, potrivit statisticilor Drupal citate de BleepingComputer și SecurityWeek, este folosit de peste 42.000 de site-uri.

Ce se știe

• CVE: CVE-2026-118539. BleepingComputer o descrie ca pe o slăbiciune de tip autorizare lipsă (missing authorization).
• Cauza: potrivit avizului Drupal, citat de ambele publicații, modulul nu protejează suficient anumite rute și anumite câmpuri ale entităților. Rezultatul este un acces neautorizat care poate avea un impact financiar asupra vânzătorului.
• Gravitate: scor de risc Drupal 21 din 25 (date publicate de SecurityWeek). Potrivit acestui scor, vulnerabilitatea poate fi exploatată de atacatori neautentificați, indiferent de configurația modulului.
• Exploatare: confirmată de Drupal. Totuși, potrivit SecurityWeek, Drupal nu a spus cum este exploatată vulnerabilitatea, cine se află în spatele atacurilor, câte site-uri au fost vizate și nici dacă a fost exploatată ca zero-day, înainte de apariția patch-urilor.
• Indicatori de compromitere: sursele nu publică niciunul.

Versiuni afectate și versiuni corectate

Cele două publicații sunt de acord asupra versiunilor de instalat:

• ramura 3.x: Commerce Core 3.3.13;
• ramura anterioară (2.x pentru Drupal 8 și versiunile ulterioare): Commerce Core 8.x-2.41.

SecurityWeek indică drept vulnerabile versiunile 3.x anterioare versiunii 3.3.13 și pe cele din ramura anterioară anterioare versiunii 8.x-2.41. BleepingComputer scrie în schimb că sunt afectate versiunile „de la 0.0.0 la 2.41 și de la 3.0.0 la 3.3.13”, o formulare care include și numerele versiunilor corectate. Avizul Drupal este cel care contează: dacă ai dubii, verifică versiunea instalată direct pe pagina proiectului.

Unde se încadrează atacul

Sursele nu descriu lanțul de atac. Din descrierea avizului se înțelege doar că un utilizator anonim poate accesa rute sau modifica câmpuri ale entităților Commerce care ar trebui să fie protejate și că efectul pentru vânzător este unul financiar: de aceea Drupal cere verificarea comenzilor pentru a găsi neconcordanțe. În clasificarea MITRE ATT&CK, scenariul corespunde exploatării unei aplicații expuse pe Internet (T1190, Exploit Public-Facing Application).

Contextul: alte avize Drupal

Potrivit SecurityWeek, în aceeași zi de 28 octombrie Drupal a publicat alte 38 de avize pentru 21 de proiecte contribuite. Aproape o duzină sunt critice, printre care vulnerabilități care pot duce la executare de cod de la distanță, preluarea conturilor și comenzi Commerce plătite prin Stripe marcate ca plătite fără plată. Modulul CAPTCHA a primit corectarea unei vulnerabilități moderat critice care permite retrimiterea unui formular protejat fără rezolvarea unei noi provocări; evaluarea Drupal indică existența unui cod de exploatare, dar avizul nu menționează exploatarea. Tot potrivit SecurityWeek, există proof of concept pentru două vulnerabilități de divulgare a informațiilor, una chiar în Commerce Core și una în Media Alias Display.

Pe 14 octombrie Drupal corectase deja două vulnerabilități critice de executare de cod de la distanță, CVE-2026-108097 (modulul Field UI din core) și CVE-2026-108099 (modulul Entity List). Potrivit SecurityWeek, ele nu pot fi exploatate singure, dar devin exploatabile împreună cu anumite module contribuite sau cu cod personalizat, în unele cazuri fără autentificare; până acum nu există relatări publice despre atacuri. În mai a fost exploatată în schimb CVE-2026-9082, o injecție SQL în API-ul de abstractizare a bazei de date din core care, potrivit SecurityWeek, afectează site-urile cu PostgreSQL; potrivit BleepingComputer, CISA a adăugat-o în catalogul KEV câteva zile mai târziu, cu un termen de trei zile pentru agențiile federale. BleepingComputer amintește și că, în ultimii ani, CISA a semnalat 5 vulnerabilități Drupal exploatate, dintre care două au fost folosite de grupări ransomware.

De ce contează pentru companiile europene

Drupal este larg folosit în administrațiile publice, universități și companii, iar Commerce Core stă la baza multor magazine online și portaluri de vânzări, adesea administrate de agenții externe. Un acces care modifică comenzile sau câmpurile entităților Commerce se poate traduce în pierderi financiare directe: mărfuri expediate fără încasare, prețuri sau stări modificate.

Sursele nu spun dacă atacul expune și datele personale ale clienților. Dacă verificarea comenzilor arată accesări ale datelor personale, se aplică obligațiile GDPR, cu notificarea autorității de supraveghere în 72 de ore atunci când există riscuri pentru persoane. Pentru piețele online și celelalte entități care intră sub incidența NIS2, gestionarea vulnerabilității trebuie documentată, iar orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național.

Ce să faci acum

1. Fă inventarul site-urilor Drupal cu Commerce Core, inclusiv al celor de test și al celor administrate de agenții sau furnizori, cu versiunea exactă a modulului.
2. Actualizează la Commerce Core 3.3.13 sau 8.x-2.41 (cu Composer, pachetul este drupal/commerce), apoi golește cache-urile și verifică funcționarea site-ului.
3. Verifică comenzile, așa cum cere Drupal: compară totalurile, prețurile și stările cu plățile încasate efectiv prin procesatorul de plăți și caută comenzi finalizate sau modificate fără o plată corespunzătoare.
4. Analizează jurnalele serverului web pentru cereri anormale către rutele Commerce și către API-uri din partea utilizatorilor neautentificați.
5. Citește celelalte avize din 28 octombrie, în special pe cel despre comenzile prin Stripe dacă folosești această metodă de plată, și aplică și corecțiile din core din 14 octombrie.
6. Urmărește avizul Drupal: în zilele următoare ar putea apărea detalii despre exploatare și indicatori.

Cum te ajută ARXDOME

ARX Expose arată serviciile publice ale companiei tale și produsele recunoscute, util pentru a găsi magazinele online expuse pe Internet; ARX Radar arată cine îți atacă acum perimetrul. Pe serverele cu agent, modificările fișierelor din ARX Trace îți spun ce s-a schimbat și unde, ca sprijin pentru verificare după actualizare.

Ultima actualizare: 30 octombrie 2026