Administratorii magazinelor Drupal Commerce trebuie să verifice atât actualizările, cât și comenzile recente: o problemă de control al accesului poate permite manipulări cu efect financiar. Drupal a publicat alerta SA-CONTRIB-2026-254 pe 28 octombrie, iar pe 29 octombrie maintainerul Centarro a detaliat două raportări de tentative de fraudă pe magazine reale.
Ce este afectat și ce versiuni remediază problema
Vulnerabilitatea CVE-2026-118539 privește modulul Commerce Core, nu orice instalare Drupal. Advisory-ul indică versiunile anterioare 2.41 și ramura 3.x înainte de 3.3.13. Soluțiile publicate sunt Commerce Core 8.x-2.41, respectiv 3.3.13. Lipsa unor verificări suficiente pentru anumite rute și câmpuri permite ocolirea controalelor de acces. Advisory Drupal
Există două sisteme de evaluare, care nu trebuie confundate. Drupal clasifică problema drept „Highly critical”, cu 21/25 în propria metodologie. În înregistrarea CVE, contribuția CISA ADP oferă CVSS 3.1: 6,5, mediu, vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N. Un scor mediu nu anulează riscul operațional pentru un comerciant. Înregistrarea oficială CVE Program
Ce știm despre exploatare
Drupal afirmă explicit că vulnerabilitatea este exploatată. Centarro precizează însă limitele observațiilor: două raportări primite de la comercianți și, la data articolului său, lipsa unor indicii că abuzul ar fi fost automatizat sau extins dincolo de site-urile inițiale. Nu rezultă că toate magazinele vulnerabile au fost compromise. Explicațiile maintainerului
Înregistrarea CVE a fost publicată pe 30 octombrie, după advisory-ul din 28 octombrie; această dată nu reprezintă descoperirea unui nou incident separat.
Verificări defensive pentru magazine
Pe lângă instalarea patchului, echipele ar trebui să confrunte comenzile suspecte cu evidența efectivă a plăților. Centarro recomandă atenție la comenzi finalizate fără plată, stări „plătit” fără tranzacții corespunzătoare, prețuri neobișnuite și reduceri ori ajustări neautorizate. Aceste semnale cer investigație: promoțiile, comenzile gratuite și intervențiile legitime ale personalului pot produce unele situații asemănătoare.
Nu livrați produse doar pentru că un flux de checkout s-a încheiat. Confirmați plata și legitimitatea comenzii. Verificați și actualizările modulelor Commerce API, License, Shipping și Stripe folosite de magazin; Centarro le recomandă în aceeași intervenție. Dacă aplicația nu are nevoie de scrieri prin JSON:API, revenirea la modul doar-citire poate reduce expunerea, dar nu înlocuiește actualizarea. Recomandările operaționale Centarro
Planificați backup și testarea checkoutului după actualizare. Păstrați jurnalele și documentați comenzile investigate: patchul închide problema software, dar nu stabilește singur dacă au existat pierderi înainte de instalare.
Imagine principală: ilustrație conceptuală generată cu AI pentru CyberJurnal; nu reproduce un magazin sau o comandă reală.
