Критична дупка в Drupal Commerce се експлоатира

Drupal публикува на 28 октомври 2026 г. бюлетин с най-високата си оценка за риск — highly critical — за модула Commerce Core, който захранва онлайн магазините в Drupal. Уязвимостта CVE-2026-118539 позволява заобикаляне на авторизацията и според официалния бюлетин SA-CONTRIB-2026-254 вече се експлоатира в реални атаки. Засегнати са над 42 000 сайта.

Формулировката в бюлетина е пестелива, но достатъчно ясна: „модулът не защитава достатъчно определени маршрути и полета на entity-та, което води до заобикаляне на достъпа, което може да има финансов ефект за търговеца“.

Какво точно позволява дупката

Става дума за липсваща авторизация — класическият случай, в който кодът проверява дали заявката е валидна, но не и дали потребителят има право да я направи. В Drupal Commerce това опира до маршрутите и полетата, свързани с количката, поръчката и плащането.

Оценката на риска е 21 от 25 по схемата на Drupal, а векторът е показателен:

AC:None  — не е нужен никакъв достъп до сайта
A:None   — не е нужен акаунт или роля
CI:Some  — частично изтичане на данни
II:Some  — частична промяна на данни
E:Exploit — съществува работещ exploit
TD:All   — уязвими са всички конфигурации на модула

С други думи: атакуващият идва направо от интернет, без регистрация, и може да чете и променя неща, които не са негови. „Финансовият ефект за търговеца“ в такъв контекст най-често означава манипулирана поръчка — друга цена, друг статус на плащане, достъп до чужда кошница.

Снимка: Centarro

Кои версии са засегнати

Проверката е проста — има две поддържани линии и всяка има своя кръпка:

Commerce Core 2.x:  всичко под 2.41      -> обновете до 8.x-2.41
Commerce Core 3.x:  3.0.0 до 3.3.12      -> обновете до 3.3.13

Версия 3.3.13 излезе същия ден, 28 октомври, на страницата на проекта в Drupal.org, където в момента 42 002 сайта се отчитат като потребители на модула. Поддръжката е на Centarro.

Уязвимостта е докладвана от Dan Puccetti, Marcus Johansson и Robert Snyder, а кръпката е дело на Jonathan Sacksick, Lee Rowlands, Mohit Aghera, Ryan Szrama, Tom Ashe и Jakub Piasecki.

Обновяването не е достатъчно

Това е най-важната част от съвета на Drupal и лесно се пропуска. Ако сайтът ви е бил уязвим през последните седмици, кръпката затваря вратата, но не връща назад това, което вече е минало през нея.

Полезно е и да прегледате web server логовете за заявки към commerce маршрути от неавтентикирани сесии — особено POST и PATCH заявки, които не би трябвало да идват от анонимен посетител.

Какво Drupal не казва

Както при zero-day уязвимостта в защитните стени на Cisco миналата седмица, публичната информация е умишлено оскъдна. Drupal потвърждава атаките, но не казва как точно се експлоатира дупката, кой стои зад кампанията, колко сайта са ударени, нито дали проблемът е бил използван като zero-day преди кръпката.

Техническата сдържаност е обяснима — при 42 000 засегнати инсталации всяка подробност ускорява масовото сканиране. Неприятният страничен ефект е, че администраторите не получават индикатори за компрометиране и трябва да търсят следите сами.

The Hacker News и BleepingComputer съобщават същите данни, без допълнителни детайли за атаките.

Част от голям security release

Commerce Core не е единственият проблем от 28 октомври. По данни на SecurityWeek Drupal е публикувал в същия ден още 38 бюлетина за уязвимости в 21 contributed проекта, близо дузина от които с критична оценка. Commerce Core е единственият с потвърдена активна експлоатация.

Това е и обичайната слаба точка на Drupal: ядрото се поддържа стриктно, но рисковете идват от хилядите модули на общността. Магазин без Commerce не работи, така че модулът е практически задължителен за всеки, който продава през Drupal.

Заключение

Ако поддържате магазин на Drupal, днешната задача е ясна: composer update drupal/commerce, проверка на версията и след това одит на поръчките назад във времето. Загубите при този тип дупка не са драматични като при хак за милиарди, но са тихи — поръчка с променена цена не вдига никакъв алармен сигнал, докато някой не седне да сравни числата.