O Drupal alertou que invasores estão explorando uma falha de segurança “altamente crítica” em seu componente Commerce Core.
A vulnerabilidade, identificada como CVE-2026-118539 (sigla de Vulnerabilidades e Exposições Comuns; pontuação CVSS, sigla de Sistema de Pontuação de Vulnerabilidades Comuns: N/A), é um caso de autorização ausente que afeta as versões 0.0.0 a 2.41 e 3.0.0 a 3.3.13 do Commerce Core.
“Este módulo permite vender produtos e serviços a clientes por meio de um carrinho de compras e de um formulário de finalização de compra incluídos, ou por meio de aplicações desacopladas via APIs”, afirmou o Drupal em um comunicado de segurança.
“O módulo não protege de forma suficiente determinadas rotas e campos de entidades, o que leva a um contorno de acesso que pode causar impacto financeiro ao fornecedor.”
O framework de gerenciamento de conteúdo de código aberto reconheceu que a vulnerabilidade está sendo “ativamente explorada na prática”, mas não forneceu detalhes sobre a natureza dessa atividade nem sobre a dimensão da campanha.
Recomenda-se que os usuários atualizem para a versão mais recente:
- Versão 3.x: atualizar para o Commerce Core 3.3.13
- Versões anteriores: atualizar para o Commerce Core 8.x-2.41
O Drupal creditou os pesquisadores Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) e Robert Snyder (rsnyd) pela descoberta e pelo reporte da falha.
Vulnerabilidades no PHP também são alvo de exploração
O caso surge em meio a outro alerta: duas vulnerabilidades críticas no PHP (linguagem de programação usada em sites e aplicações web), identificadas como CVE-2026-109618 e CVE-2026-109619 (pontuação CVSS: 9,2) e tratadas coletivamente como PHP2Shell, estão sendo alvo de tentativas de exploração ativa.
Até 25 de outubro, a porcentagem de organizações significativamente afetadas pelo PHP2Shell caiu para 52,1%, segundo dados da Wiz, empresa de segurança em nuvem de propriedade do Google.
A empresa afirmou ter observado, até o momento, dois tipos de atividade. O primeiro inclui tentativas que utilizam o mecanismo de exploração PHP2Shell e correspondem a exploits públicos de prova de conceito (PoC, do inglês proof-of-concept).
A segunda categoria se refere a “ferramentas com a marca PHP2Shell, sem relação com as vulnerabilidades”, que se basearam em envenenamento de sessão e em uma vulnerabilidade separada de inclusão local de arquivos (LFI, sigla de local file inclusion) na aplicação, segundo os pesquisadores da Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan e Yaron Samuel.
“Nossas observações mostram que provocar esgotamento de memória sozinho não é suficiente para completar a cadeia de exploração. Diferenças nas versões compiladas do PHP, nos limites de memória e no comportamento dos processos de execução podem impedir que as etapas seguintes funcionem. O desafio para atacantes oportunistas é transformar as provas de conceito públicas disponíveis atualmente em ferramentas operacionais igualmente confiáveis, ou desenvolvê-las por conta própria.”
