Drupal оприлюднив бюлетень безпеки про вразливість CVE-2026-118539 у модулі Commerce Core, який забезпечує функціональність інтернет-магазину — кошик, оформлення замовлень та API для зовнішніх застосунків. Вразливість класифіковано як обхід контролю доступу (access bypass): модуль недостатньо захищає певні маршрути та поля сутностей, що може призвести до фінансових втрат для власників магазинів. Drupal оцінює проблему як висококритичну (21/25 за внутрішньою шкалою) і підтверджує, що її вже експлуатують у реальних атаках. Під вразливістю перебувають версії Commerce Core нижче 2.41 та від 3.0.0 до 3.3.12 включно. Власникам сайтів на Drupal із підключеним модулем Commerce необхідно негайно оновитися та провести аудит замовлень.
Технічні деталі вразливості
Згідно з бюлетенем Drupal від 28 жовтня 2026 року, CVE-2026-118539 є відсутністю авторизації (missing authorization) у Commerce Core. Вразливість не потребує аутентифікації й не передбачає складних умов для експлуатації — у термінах Drupal: AC:None/A:None. Це означає, що зловмисник може скористатися вразливістю без попереднього доступу до системи.
Уразливі версії:
- Commerce Core версії нижче 2.41
- Commerce Core версії від 3.0.0 до 3.3.12 включно
Оцінку CVSS на момент публікації бюлетеня не присвоєно (N/A в NVD). Однак внутрішня оцінка Drupal — 21 із 25 балів із позначкою «Exploit» у полі експлуатованості — вказує на реальну й підтверджену загрозу. Важливо зазначити, що підтвердження активної експлуатації походить виключно від самого Drupal; незалежних підтверджень від сторонніх дослідників або включення до каталогу CISA KEV наразі не виявлено.
Вразливість виявили дослідники Dan Puccetti, Marcus Johansson та Robert Snyder.
Оцінка впливу
Commerce Core — один із ключових модулів екосистеми Drupal для електронної комерції. Вразливість обходу авторизації в такому компоненті безпосередньо загрожує фінансовій цілісності транзакцій. Drupal прямо вказує на можливу фінансову шкоду для продавців — може йтися про маніпуляції цінами, обхід платіжних перевірок або несанкціонований доступ до даних замовлень.
Периметр впливу CVE-2026-118539 обмежений конкретними версіями модуля Commerce Core. Це відрізняє цю вразливість від паралельно обговорюваних проблем PHP2Shell, які зачіпають сам інтерпретатор PHP і потенційно поширюються на будь-який PHP-застосунок незалежно від використовуваної CMS.
Зв’язок із PHP2Shell та загальна картина загроз
Бюлетень Drupal вийшов на тлі триваючої активності довкола двох критичних вразливостей у ядрі PHP — CVE-2026-109618 і CVE-2026-109619, відомих під загальною назвою PHP2Shell (CVSS до 9.2). Обидві вразливості включені до каталогу CISA KEV. Ми вже детально розбирали ці вразливості і відстежували їхнє включення до CISA KEV.
За даними дослідження Wiz, технічно CVE-2026-109618 являє собою use-after-free в механізмі відстеження завантаження файлів, а CVE-2026-109619 — use-after-free в обробці фатальних помилок у поєднанні з type confusion в OPcache. Ці вразливості існують у самому PHP і не залежать від конкретного застосунку — вплив продемонстровано на WordPress, Drupal і Joomla.
Wiz повідомляє, що спостерігала обмежену кількість спроб експлуатації PHP2Shell у своїй телеметрії. Жоден із двох виявлених варіантів експлойт-китів не завершив ланцюжок атаки успішно. Публічно доступного універсального PoC для повної експлуатації Wiz не виявила. Дослідники зазначають, що надійність експлуатації серйозно обмежена відмінностями у збірках PHP, налаштуваннях лімітів пам’яті, поведінці робочих процесів і необхідністю прив’язки послідовних запитів до одного процесу.
Wiz також зафіксувала появу інструментів, які використовують бренд «PHP2Shell», але фактично не експлуатують зазначені вразливості — натомість вони спиралися на отруєння сесій і окрему вразливість локального включення файлів (LFI).
За даними Wiz, за тиждень після розкриття менш як 53% спочатку уражених організацій залишалися вразливими — зниження приблизно на 47,9%. Патчі для PHP стали доступні, за даними Wiz, 21 жовтня 2026 року.
Для адміністраторів Drupal це означає два незалежні треки виправлень: оновлення модуля Commerce Core закриває CVE-2026-118539, але не захищає від PHP2Shell, для якого потрібне оновлення самого інтерпретатора PHP на сервері.
Рекомендації
Drupal рекомендує такі дії:
- Для Commerce Core 3.x — оновити до версії 3.3.13
- Для більш ранніх версій — оновити до версії 8.x-2.41
- Провести аудит замовлень на предмет аномалій і невідповідностей — Drupal прямо рекомендує перевірку цілісності даних про замовлення
Додатково для захисту від PHP2Shell:
- Оновити PHP до версії, що містить виправлення CVE-2026-109618 і CVE-2026-109619
- Врахувати, що CISA встановила кінцевий термін усунення PHP2Shell — 29 жовтня 2026 року
Індикатори компрометації (PHP2Shell)
Wiz оприлюднила IP-адреси, пов’язані зі спробами експлуатації PHP2Shell:
- 85.11.187[.]35
- 172.206.2[.]199
- 3.37.227[.]134
- 103.151.172[.]95
- 178.249.214[.]6
- 31.56.197[.]72
- 135.136.19[.]197
- 15.204.59[.]70
- 162.35.99[.]94
Власникам сайтів на Drupal Commerce варто розглядати оновлення Commerce Core як невідкладне — вразливість експлуатується, не потребує аутентифікації й безпосередньо загрожує фінансовим операціям. Паралельно потрібно переконатися, що версію PHP на сервері оновлено для захисту від PHP2Shell: це два різні вектори атаки, які потребують двох окремих виправлень, і закриття одного не компенсує інший.
