Drupal опубликовал бюллетень безопасности об уязвимости CVE-2026-118539 в модуле Commerce Core, который обеспечивает функциональность интернет-магазина — корзину, оформление заказов и API для внешних приложений. Уязвимость классифицирована как обход контроля доступа (access bypass): модуль недостаточно защищает определённые маршруты и поля сущностей, что может привести к финансовым потерям для владельцев магазинов. Drupal оценивает проблему как высококритичную (21/25 по внутренней шкале) и подтверждает, что она уже эксплуатируется в дикой природе. Затронуты версии Commerce Core ниже 2.41 и от 3.0.0 до 3.3.12 включительно. Владельцам сайтов на Drupal с подключённым модулем Commerce необходимо немедленно обновиться и провести аудит заказов.
Технические детали уязвимости
Согласно бюллетеню Drupal от 28 октября 2026 года, CVE-2026-118539 представляет собой отсутствие авторизации (missing authorization) в Commerce Core. Уязвимость не требует аутентификации и не предполагает сложных условий для эксплуатации — в терминах Drupal: AC:None/A:None. Это означает, что атакующий может воспользоваться уязвимостью без предварительного доступа к системе.
Затронутые версии:
- Commerce Core версии ниже 2.41
- Commerce Core версии от 3.0.0 до 3.3.12 включительно
Оценка CVSS на момент публикации бюллетеня не присвоена (N/A в NVD). Однако внутренняя оценка Drupal — 21 из 25 баллов с пометкой «Exploit» в поле эксплуатируемости — указывает на реальную и подтверждённую угрозу. Важно отметить, что подтверждение активной эксплуатации исходит исключительно от самого Drupal; независимых подтверждений от сторонних исследователей или включения в каталог CISA KEV на данный момент не обнаружено.
Уязвимость обнаружили исследователи Dan Puccetti, Marcus Johansson и Robert Snyder.
Оценка воздействия
Commerce Core — один из ключевых модулей экосистемы Drupal для электронной коммерции. Уязвимость обхода авторизации в таком компоненте напрямую угрожает финансовой целостности транзакций. Drupal явно указывает на возможный финансовый ущерб для продавцов — речь может идти о манипуляции ценами, обходе платёжных проверок или несанкционированном доступе к данным заказов.
Периметр воздействия CVE-2026-118539 ограничен конкретными версиями модуля Commerce Core. Это отличает данную уязвимость от параллельно обсуждаемых проблем PHP2Shell, которые затрагивают сам интерпретатор PHP и потенциально распространяются на любое PHP-приложение независимо от используемой CMS.
Связь с PHP2Shell и общая картина угроз
Бюллетень Drupal вышел на фоне продолжающейся активности вокруг двух критических уязвимостей в ядре PHP — CVE-2026-109618 и CVE-2026-109619, известных под общим названием PHP2Shell (CVSS до 9.2). Обе уязвимости включены в каталог CISA KEV. Мы уже подробно разбирали эти уязвимости и отслеживали их включение в CISA KEV.
По данным исследования Wiz, технически CVE-2026-109618 представляет собой use-after-free в механизме отслеживания загрузки файлов, а CVE-2026-109619 — use-after-free в обработке фатальных ошибок в сочетании с type confusion в OPcache. Эти уязвимости существуют в самом PHP и не зависят от конкретного приложения — воздействие продемонстрировано на WordPress, Drupal и Joomla.
Wiz сообщает, что наблюдала ограниченное число попыток эксплуатации PHP2Shell в своей телеметрии. Ни один из двух обнаруженных вариантов эксплойт-китов не завершил цепочку атаки успешно. Публично доступного универсального PoC для полной эксплуатации Wiz не обнаружила. Исследователи указывают, что надёжность эксплуатации серьёзно ограничена различиями в сборках PHP, настройках лимитов памяти, поведении рабочих процессов и необходимости привязки последовательных запросов к одному процессу.
Wiz также зафиксировала появление инструментов, использующих бренд «PHP2Shell», но фактически не эксплуатирующих указанные уязвимости — вместо этого они опирались на отравление сессий и отдельную уязвимость локального включения файлов (LFI).
По данным Wiz, спустя неделю после раскрытия менее 53% изначально затронутых организаций оставались уязвимыми — снижение примерно на 47,9%. Патчи для PHP стали доступны, по данным Wiz, 21 октября 2026 года.
Для администраторов Drupal это означает два независимых трека исправлений: обновление модуля Commerce Core закрывает CVE-2026-118539, но не защищает от PHP2Shell, для которого требуется обновление самого интерпретатора PHP на сервере.
Рекомендации
Drupal рекомендует следующие действия:
- Для Commerce Core 3.x — обновить до версии 3.3.13
- Для более ранних версий — обновить до версии 8.x-2.41
- Провести аудит заказов на предмет аномалий и несоответствий — Drupal явно рекомендует проверку целостности данных о заказах
Дополнительно для защиты от PHP2Shell:
- Обновить PHP до версии, содержащей исправления CVE-2026-109618 и CVE-2026-109619
- Учитывать, что CISA установила крайний срок устранения PHP2Shell — 29 октября 2026 года
Индикаторы компрометации (PHP2Shell)
Wiz опубликовала IP-адреса, связанные с попытками эксплуатации PHP2Shell:
- 85.11.187[.]35
- 172.206.2[.]199
- 3.37.227[.]134
- 103.151.172[.]95
- 178.249.214[.]6
- 31.56.197[.]72
- 135.136.19[.]197
- 15.204.59[.]70
- 162.35.99[.]94
Владельцам сайтов на Drupal Commerce следует рассматривать обновление Commerce Core как неотложное — уязвимость эксплуатируется, не требует аутентификации и напрямую угрожает финансовым операциям. Параллельно необходимо убедиться, что версия PHP на сервере обновлена для защиты от PHP2Shell: это два разных вектора атаки, требующих двух отдельных исправлений, и закрытие одного не компенсирует другой.
