Drupal hat einen Sicherheitshinweis veröffentlicht zu der Schwachstelle CVE-2026-118539 im Modul Commerce Core, das die Shop-Funktionalität bereitstellt – Warenkorb, Bestellabwicklung und APIs für externe Anwendungen. Die Schwachstelle ist als Umgehung der Zugriffskontrolle (access bypass) klassifiziert: Das Modul schützt bestimmte Routen und Entitätsfelder nicht ausreichend, was zu finanziellen Verlusten für Shop-Betreiber führen kann. Drupal bewertet das Problem als hoch kritisch (21/25 auf der internen Skala) und bestätigt, dass es bereits in freier Wildbahn ausgenutzt wird. Betroffen sind Commerce-Core-Versionen unter 2.41 sowie von 3.0.0 bis einschließlich 3.3.12. Betreiber von Drupal-Websites mit aktiviertem Commerce-Modul müssen umgehend aktualisieren und einen Bestell-Audit durchführen.
Technische Details der Schwachstelle
Dem Sicherheitshinweis von Drupal vom 28. Oktober 2026 zufolge stellt CVE-2026-118539 eine fehlende Autorisierung (missing authorization) in Commerce Core dar. Die Schwachstelle erfordert keine Authentifizierung und setzt keine komplexen Bedingungen für die Ausnutzung voraus – in der Terminologie von Drupal: AC:None/A:None. Das bedeutet, dass ein Angreifer die Schwachstelle ohne vorherigen Zugriff auf das System ausnutzen kann.
Betroffene Versionen:
- Commerce Core Versionen unter 2.41
- Commerce Core Versionen von 3.0.0 bis einschließlich 3.3.12
Eine CVSS-Bewertung war zum Zeitpunkt der Veröffentlichung des Sicherheitshinweises noch nicht vergeben (N/A in der NVD). Die interne Bewertung von Drupal – 21 von 25 Punkten mit der Kennzeichnung „Exploit“ im Feld zur Ausnutzbarkeit – weist jedoch auf eine reale und bestätigte Bedrohung hin. Wichtig ist, dass die Bestätigung der aktiven Ausnutzung ausschließlich von Drupal selbst stammt; unabhängige Bestätigungen durch externe Forscher oder eine Aufnahme in den CISA-KEV-Katalog liegen derzeit nicht vor.
Die Schwachstelle wurde von den Forschern Dan Puccetti, Marcus Johansson und Robert Snyder entdeckt.
Auswirkungsbewertung
Commerce Core ist eines der zentralen Module im Drupal-Ökosystem für E-Commerce. Eine Schwachstelle zur Umgehung der Autorisierung in einer solchen Komponente bedroht unmittelbar die finanzielle Integrität der Transaktionen. Drupal weist ausdrücklich auf mögliche finanzielle Schäden für Verkäufer hin – dabei kann es um die Manipulation von Preisen, die Umgehung von Zahlungsprüfungen oder den unbefugten Zugriff auf Bestelldaten gehen.
Der Wirkungsbereich von CVE-2026-118539 ist auf bestimmte Versionen des Modules Commerce Core begrenzt. Dies unterscheidet die Schwachstelle von den parallel diskutierten PHP2Shell-Problemen, die den PHP-Interpreter selbst betreffen und potenziell jede PHP-Anwendung unabhängig von der verwendeten CMS betreffen.
Zusammenhang mit PHP2Shell und Gesamtbild der Bedrohung
Der Sicherheitshinweis von Drupal erscheint vor dem Hintergrund der anhaltenden Aktivitäten rund um zwei kritische Schwachstellen im PHP-Kern – CVE-2026-109618 und CVE-2026-109619, die unter dem gemeinsamen Namen PHP2Shell bekannt sind (CVSS bis 9.2). Beide Schwachstellen sind im CISA-KEV-Katalog enthalten. Wir haben diese Schwachstellen bereits ausführlich analysiert und ihre Aufnahme in CISA KEV nachverfolgt.
Nach Angaben der Analyse von Wiz handelt es sich bei CVE-2026-109618 technisch um eine Use-after-free-Schwachstelle im Mechanismus zur Nachverfolgung von Dateiuploads, während CVE-2026-109619 eine Use-after-free-Schwachstelle in der Behandlung von fatalen Fehlern in Kombination mit einer type confusion in OPcache darstellt. Diese Schwachstellen existieren in PHP selbst und sind nicht von einer konkreten Anwendung abhängig – die Auswirkungen wurden für WordPress, Drupal und Joomla demonstriert.
Wiz berichtet, in seiner Telemetrie eine begrenzte Anzahl von Versuchen zur Ausnutzung von PHP2Shell beobachtet zu haben. Keiner der beiden identifizierten Exploit-Kit-Varianten konnte die Angriffskette erfolgreich abschließen. Einen öffentlich verfügbaren universellen PoC für eine vollständige Ausnutzung hat Wiz nicht gefunden. Die Forscher weisen darauf hin, dass die Zuverlässigkeit der Ausnutzung erheblich durch Unterschiede in PHP-Builds, Speicherlimit-Konfigurationen, Verhalten der Worker-Prozesse und die Notwendigkeit, aufeinanderfolgende Anfragen an denselben Prozess zu binden, eingeschränkt ist.
Wiz hat zudem das Auftauchen von Tools beobachtet, die die Marke „PHP2Shell“ verwenden, tatsächlich aber die genannten Schwachstellen nicht ausnutzen – stattdessen basierten sie auf Session Poisoning und einer separaten Local File Inclusion (LFI)-Schwachstelle.
Nach Angaben von Wiz waren eine Woche nach der Offenlegung weniger als 53 % der ursprünglich betroffenen Organisationen weiterhin verwundbar – ein Rückgang von rund 47,9 %. Patches für PHP wurden laut Wiz am 21. Oktober 2026 verfügbar.
Für Drupal-Administratoren bedeutet dies zwei unabhängige Korrekturpfade: Das Update des Commerce-Core-Moduls schließt CVE-2026-118539, schützt jedoch nicht vor PHP2Shell. Dagegen ist ein Update des PHP-Interpreters selbst auf dem Server erforderlich.
Empfehlungen
Drupal empfiehlt die folgenden Maßnahmen:
- Für Commerce Core 3.x – Update auf Version 3.3.13
- Für frühere Versionen – Update auf Version 8.x-2.41
- Audit der Bestellungen auf Anomalien und Unstimmigkeiten – Drupal empfiehlt ausdrücklich eine Prüfung der Integrität der Bestelldaten
Zusätzlich zum Schutz vor PHP2Shell:
- Update von PHP auf eine Version, die die Patches für CVE-2026-109618 und CVE-2026-109619 enthält
- Beachten, dass CISA eine Frist zur Behebung von PHP2Shell bis zum 29. Oktober 2026 gesetzt hat
Indikatoren einer Kompromittierung (PHP2Shell)
Wiz hat IP-Adressen veröffentlicht, die mit Versuchen der Ausnutzung von PHP2Shell in Verbindung stehen:
- 85.11.187[.]35
- 172.206.2[.]199
- 3.37.227[.]134
- 103.151.172[.]95
- 178.249.214[.]6
- 31.56.197[.]72
- 135.136.19[.]197
- 15.204.59[.]70
- 162.35.99[.]94
Betreiber von Drupal-Commerce-Websites sollten das Update von Commerce Core als dringend betrachten – die Schwachstelle wird ausgenutzt, erfordert keine Authentifizierung und bedroht direkt Finanztransaktionen. Parallel dazu muss sichergestellt werden, dass die PHP-Version auf dem Server zum Schutz vor PHP2Shell aktualisiert wurde: Es handelt sich um zwei unterschiedliche Angriffsvektoren, die zwei separate Korrekturen erfordern, und das Schließen des einen kompensiert den anderen nicht.
