تیم امنیتی Drupal هشدار داده است که عامل‌های تهدید (threat actors) در حال بهره‌برداری از یک آسیب‌پذیری امنیتی “بسیار بحرانی” در کامپوننت Commerce Core هستند. این نقص امنیتی می‌تواند امنیت فرآیندهای فروش و پرداخت را به شدت تهدید کند.
جزئیات فنی و نسخه‌های آسیب‌پذیر
این آسیب‌پذیری که با شناسه CVE-2026-118539 ثبت شده است، مربوط به نقص در فرآیند مجوزدهی (missing authorization) است. نسخه‌های زیر تحت تأثیر قرار گرفته‌اند:
- نسخه‌های 0.0.0 تا 2.41 از Commerce Core
- نسخه‌های 3.0.0 تا 3.3.13 از Commerce Core
ماژول مذکور وظیفه مدیریت فروش کالا و خدمات از طریق سبد خرید (shopping cart) و فرم‌های پرداخت (checkout) را بر عهده دارد. عدم محافظت کافی از برخی مسیرها (routes) و فیلدهای موجودیت (entity fields) منجر به وقوع یک دور زدن دسترسی (access bypass) می‌شود که می‌تواند پیامدهای مالی سنگینی برای فروشندگان به همراه داشته باشد.
وضعیت اکسپلویت و اقدامات لازم
طبق گزارش‌ها، این آسیب‌پذیری در حال حاضر به صورت فعال در محیط‌های واقعی (in the wild) مورد اکسپلویت قرار گرفته است. توصیه اکید می‌شود که تمامی مدیران سیستم و توسعه‌دهندگان، بلافاصله ماژول Drupal Commerce خود را به آخرین نسخه پایدار به‌روزرسانی کنند.
تحلیل حملات PHP2Shell
همزمان با این گزارش، تلاش‌های فعالی برای بهره‌برداری از آسیب‌پذیری‌های PHP تحت عنوان PHP2Shell (شامل CVE-2026-109618 و CVE-2026-109619) مشاهده شده است. تحلیل‌ها نشان می‌دهد که مهاجمان علاوه بر استفاده از مکانیزم‌های اکسپلویت عمومی، از روش‌هایی مانند Session Poisoning و آسیب‌پذیری‌های Local File Inclusion (LFI) نیز برای تکمیل زنجیره حمله استفاده می‌کنند.
