Drupal upozorava na aktivno iskorišćavanje ranjivosti u Commerce Core modulu
CVE-2026-118539 omogućava zaobilaženje kontrola pristupa. Ispravke su dostupne u verzijama 3.3.13 i 8.x-2.41; Drupal preporučuje i pregled porudžbina zbog mogućih nepravilnosti.
Šta se desilo?
Drupal je 28. oktobra 2026. objavio upozorenje SA-CONTRIB-2026-254 za Commerce Core i potvrdio aktivno iskorišćavanje ranjivosti CVE-2026-118539. Nedovoljno zaštićene rute i polja entiteta omogućavaju zaobilaženje kontrola pristupa, uz moguće finansijske posledice po prodavce.
Koga pogađa?
Pogođeni su sajtovi sa Commerce Core verzijama starijim od 2.41, kao i verzijama od 3.0.0 do, ali ne uključujući, 3.3.13. Verzije 8.x-2.41 i 3.3.13 sadrže ispravku. Naziv Commerce Core označava modul za elektronsku trgovinu, ne osnovni Drupal sistem.
Kako se zaštititi?
- Ažurirajte Commerce Core 3.x na 3.3.13 ili noviju odgovarajuću verziju.
- Za raniju granu primenite Commerce Core 8.x-2.41 ili noviju odgovarajuću verziju.
- Pregledajte porudžbine i proverite nepravilnosti u odnosu na evidenciju plaćanja.
- Sačuvajte logove i istražite neuobičajene izmene ili pristupe.
- Posle ažuriranja proverite funkcionalnost korpe, naplate i povezanih API-ja.
Tehnički detalji
Drupal navodi ocenu Highly critical, 21/25, prema sopstvenoj skali rizika; to nije CVSS ocena. Zvanični advisory ne objavljuje CVSS broj niti detaljan postupak napada. Opisuje problem kontrole pristupa, bez potvrde da ova ranjivost omogućava potpuno preuzimanje servera.
Zašto je važno?
Primenjena zakrpa ne poništava eventualne ranije izmene porudžbina. Zato je pregled poslovnih evidencija važan deo odgovora na incident.
Preporuka Sajber Radara
Dajte prioritet ažuriranju i proveri porudžbina. Ako pronađete odstupanja, uključite tehnički i finansijski tim, sačuvajte dokaze i utvrdite obim pre zaključivanja o šteti.