Hacker nutzen kritischen Autorisierungsumgehung im Drupal Commerce Core aktiv aus — Cybersicherheit

Drupal hat eine Warnung bezüglich der aktiven Ausnutzung eines hochkritischen Sicherheitsfehlers in seinem Commerce Core-Modul herausgegeben, der als CVE-2026-118539 identifiziert wurde. Die Schwachstelle ermöglicht es Angreifern, Autorisierungskontrollen für bestimmte Routen und Entitätsfelder zu umgehen, was potenziell finanzielle Schäden für Händler verursachen kann, die von betroffenen Versionen betroffen sind.

Drupal hat die Community darauf hingewiesen, dass Bedrohungsakteure eine hochkritische Sicherheitslücke in seiner Commerce Core-Komponente aktiv ausnutzen. Dieser Fehler, der als CVE-2026-118539 verfolgt wird, resultiert aus fehlenden Autorisierungskontrollen und betrifft Commerce Core-Versionen von 0.0.0 bis 2.41 sowie Versionen 3.0.0 bis 3.3.13. Laut einer von Drupal herausgegebenen Warnung ermöglicht das Modul den Verkauf von Waren und Dienstleistungen über Einkaufswagen, Checkout-Formulare oder entkoppelte Anwendungen über APIs.

Das Sicherheitsproblem entsteht, weil das Modul bestimmte Routen und Entitätsfelder nicht ausreichend schützt, was zu einer Zugriffsumgehung führt, die Händler finanziell beeinträchtigen könnte. Während das Open-Source-Inhaltsmanagement-Framework bestätigte, dass die Schwachstelle in der Praxis aktiv ausgenutzt wird, wurden keine spezifischen Details zur Art der Angriffe oder zum Umfang der Kampagne bereitgestellt.

Um dieses Risiko zu mindern, werden Benutzer dringend aufgefordert, ihre Systeme sofort zu aktualisieren. Nutzer, die Version 3.x betreiben, sollten auf Commerce Core 3.3.13 upgraden, während Benutzer früherer Versionen auf Commerce Core 8.x-2.41 upgraden müssen. Drupal hat den Forschern Dan Puccetti, Marcus Johansson und Robert Snyder für die Meldung des Fehlers gedankt.

Dieser Vorfall ereignet sich parallel zu aktiven Ausnutzungsversuchen, die zwei kritische PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, betreffen, die gemeinsam als PHP2Shell bekannt sind. Daten von Wiz, einem Unternehmen im Besitz von Google, zeigen, dass der Anteil der Organisationen, die erheblich von PHP2Shell betroffen sind, bis zum 25. Oktober auf 52,1 % gesunken ist. Die Forscher von Wiz, Yaara Shriki, Shahar Dorfman, Alma Blachsan und Yaron Samuel, stellten zwei Arten von Aktivitäten fest: Versuche, die mit öffentlich zugänglichen Proof-of-Concept-Exploits übereinstimmen, sowie die Nutzung von PHP2Shell-markierten Tools, die auf Session-Vergiftung und eine separate lokale Datei-Einschleusungs-Schwachstelle zurückgreifen. Die Forscher stellten fest, dass das alleinige Auslösen eines Speichererschöpfens oft nicht ausreicht, um die Exploit-Kette abzuschließen, da Variationen in PHP-Builds und Speichergrenzen bestehen, was Gelegenheitsangreifern, die versuchen, öffentliche Proof-of-Concepts zu operationalisieren, Herausforderungen bereitet.

Quellen: The Hacker News.