O Drupal alertou a comunidade de que atores de ameaça estão explorando ativamente uma vulnerabilidade de segurança altamente crítica dentro de seu componente Commerce Core. Esta falha, rastreada como CVE-2026-118539, decorre da ausência de controles de autorização e afeta as versões do Commerce Core que vão de 0.0.0 a 2.41, bem como as versões 3.0.0 até 3.3.13. De acordo com um comunicado emitido pelo Drupal, o módulo facilita a venda de bens e serviços por meio de carrinhos de compras, formulários de checkout ou aplicativos desacoplados através de APIs.
O problema de segurança surge porque o módulo falha em proteger adequadamente certas rotas e campos de entidade, criando um contorno de acesso que poderia impactar financeiramente os vendedores. Embora a estrutura de gerenciamento de conteúdo de código aberto tenha confirmado que a vulnerabilidade está sendo explorada ativamente na natureza, ela não forneceu detalhes específicos sobre a natureza dos ataques ou a escala da campanha.
Para mitigar esse risco, os usuários são instados a atualizar seus sistemas imediatamente. Aqueles que executam a versão 3.x devem atualizar para o Commerce Core 3.3.13, enquanto os usuários em versões anteriores devem atualizar para o Commerce Core 8.x-2.41. O Drupal creditou aos pesquisadores Dan Puccetti, Marcus Johansson e Robert Snyder pela reportagem da falha.
Este incidente ocorre juntamente com tentativas de exploração ativa visando duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619, coletivamente conhecidas como PHP2Shell. Dados da Wiz, propriedade do Google, indicam que, a partir de 25 de outubro, a porcentagem de organizações significativamente afetadas pelo PHP2Shell caiu para 52,1%. Os pesquisadores da Wiz, Yaara Shriki, Shahar Dorfman, Alma Blachsan e Yaron Samuel, observaram dois tipos de atividades: tentativas que correspondem a exploits públicos de prova de conceito e o uso de ferramentas marcadas com PHP2Shell que dependem de envenenamento de sessão e uma vulnerabilidade separada de inclusão local de arquivos. Os pesquisadores observaram que acionar apenas o esgotamento de memória é frequentemente insuficiente para completar a cadeia de exploração devido às variações nas compilações do PHP e nos limites de memória, apresentando desafios para atacantes oportunistas que tentam operacionalizar provas de conceito públicas.
Fontes: The Hacker News.