Lo sfruttamento attivo apre le funzioni di vendita di Drupal
Drupal conferma lo sfruttamento attivo di CVE-2026-118539 in Commerce Core, un bypass dell’autorizzazione che interessa le versioni dalla 0.0.0 alla 2.41 e dalla 3.0.0 alla 3.3.13. La falla può incidere sulle transazioni e sui dati del venditore, non soltanto sulla disponibilità del negozio.
Alcune rotte del sistema commerciale e alcuni campi delle entità non verificano correttamente se una richiesta è autorizzata. Un attaccante può così raggiungere o modificare funzioni e dati riservati senza ottenere prima i permessi previsti.
Drupal non ha fornito dettagli sull’attività degli attaccanti né sulla portata della campagna. Per Commerce Core 3.x, la versione corretta è la 3.3.13; per le versioni precedenti, la 8.x-2.41. Le versioni installate sono quindi il criterio più chiaro per individuare l’esposizione, ma l’aggiornamento da solo non chiarisce se vi sia già stato accesso.