Hacker Sfruttano Attivamente un Critico Bypass di Autorizzazione nel Core di Drupal Commerce — Cybersicurezza

Drupal ha emesso un avvertimento riguardo allo sfruttamento attivo di una falla di sicurezza altamente critica nel suo modulo Commerce Core, identificata come CVE-2026-118539. La vulnerabilità consente agli attaccanti di bypassare i controlli di autorizzazione su determinate rotte e campi entità, potenzialmente causando danni finanziari ai venditori che utilizzano le versioni interessate.

Drupal ha allertato la comunità sul fatto che attori minacciosi stanno sfruttando attivamente una vulnerabilità di sicurezza altamente critica all'interno del suo componente Commerce Core. Questa falla, tracciata come CVE-2026-118539, deriva da controlli di autorizzazione mancanti e colpisce le versioni di Commerce Core comprese tra 0.0.0 e 2.41, nonché le versioni da 3.0.0 a 3.3.13. Secondo un avviso emesso da Drupal, il modulo facilita la vendita di beni e servizi tramite carrelli della spesa, moduli di checkout o applicazioni disaccoppiate attraverso API.

Il problema di sicurezza sorge perché il modulo non protegge sufficientemente determinate rotte e campi entità, creando un bypass dell'accesso che potrebbe avere ripercussioni finanziarie sui venditori. Sebbene il framework di gestione dei contenuti open source abbia confermato che la vulnerabilità sta venendo sfruttata attivamente nel mondo reale, non ha fornito dettagli specifici sulla natura degli attacchi o sull'entità della campagna.

Per mitigare questo rischio, gli utenti sono invitati ad aggiornare immediatamente i propri sistemi. Coloro che eseguono la versione 3.x dovrebbero passare a Commerce Core 3.3.13, mentre gli utenti delle versioni precedenti devono aggiornarsi a Commerce Core 8.x-2.41. Drupal ha riconosciuto i ricercatori Dan Puccetti, Marcus Johansson e Robert Snyder per aver segnalato la falla.

Questo incidente si verifica parallelamente ai tentativi di sfruttamento attivo rivolti a due vulnerabilità critiche di PHP, CVE-2026-109618 e CVE-2026-109619, collettivamente note come PHP2Shell. I dati di Wiz, proprietà di Google, indicano che al 25 ottobre la percentuale di organizzazioni significativamente colpite da PHP2Shell è scesa al 52,1%. I ricercatori di Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan e Yaron Samuel hanno notato due tipi di attività: tentativi corrispondenti a exploit proof-of-concept pubblici e l'uso di strumenti marchiati PHP2Shell che si basano sull'avvelenamento delle sessioni e su una vulnerabilità separata di inclusione di file locali. I ricercatori hanno osservato che il solo esaurimento della memoria è spesso insufficiente per completare la catena di sfruttamento a causa delle variazioni nelle build di PHP e nei limiti di memoria, presentando sfide per gli attaccanti opportunisti che tentano di operationalizzare le proof-of-concept pubbliche.

Fonti: The Hacker News.