Для кого эта статья: владельцев и разработчиков интернет-магазинов на Drupal Commerce. Эта страница основана на бюллетене безопасности Drupal и NVD; в ней нет шагов атаки или кода эксплойта.
Развивается: эта страница будет обновляться по мере публикации новых сведений
По состоянию на 31 октября 2026 года (JST)Пока неизвестно
- Что именно злоумышленники делают с помощью обхода и сколько магазинов затронуто (Drupal не дает подробностей)
- Собственный анализ NVD (статус: Awaiting Analysis, 30 октября)
- Добавит ли CISA ее в каталог KEV
Drupal опубликовала SA-CONTRIB-2026-254 28 октября с исправленными версиями и говорит, что недостаток активно эксплуатируется. Мы проверили бюллетень, NVD и ленту KEV CISA 31 октября.
Что делать сегодня
Узнайте версию Commerce Core
Проверьте версию Commerce Core (машинное имя commerce) в файле блокировки Composer или на странице расширений Drupal. Затронуты: ниже 8.x-2.41 и с 3.0.0 до, но не включая, 3.3.13.
Обновитесь
Перейдите на 3.3.13, если используете 3.x, или на 8.x-2.41, если используете линию 2.x, как сказано в бюллетене Drupal. Если можете, протестируйте на промежуточной среде, но не оставляйте рабочую среду на затронутой версии надолго на время тестирования.
Проведите аудит заказов и платежей
Drupal говорит, что сайтам следует проверить свои заказы на несоответствия. Наши предложения: сверьте оплаченные или выполненные заказы с записями вашего платежного провайдера и поищите неожиданные цены, суммы, состояния заказов или поля клиентов. Эксплуатация может предшествовать бюллетеню от 28 октября, поэтому проверки, начинающейся с 28 октября, может быть недостаточно; возвращайтесь настолько далеко, насколько позволяют журналы.
Сохраните журналы, затем проверьте другие признаки
Сохраните журналы веб-сервера и приложения до обновления. Если вы найдете что-либо необъяснимое, привлеките вашего разработчика и платежного провайдера и учтите свои обязанности по уведомлению в соответствии с применимыми к вам правилами защиты данных и платежных карт (наша оценка).
Что было раскрыто
- Продукт
- Commerce Core (машинное имя commerce), модуль Drupal для продаж через корзину, оформление заказа и API
- Тип
- Обход доступа. Модуль недостаточно защищает определенные маршруты и поля сущностей (Drupal). NVD: отсутствие авторизации (CWE-862), принудительный просмотр
- Серьезность
- Drupal: Highly critical, 21/25; без сложности доступа, без аутентификации, некоторое влияние на конфиденциальность и целостность, эксплуатация на практике, эксплуатируется при любой конфигурации. Запись NVD: CVSS v3.1 6,5 (добавлена CISA-ADP)
- Затронутые версии
- Ниже 8.x-2.41; с 3.0.0 до, но не включая, 3.3.13
- Исправлено в
- 8.x-2.41 и 3.3.13
- Эксплуатация
- Drupal: «активно эксплуатируется на практике». Без подробностей о том, кем и насколько широко
- Опубликовано
- 28 октября 2026 (Drupal). Запись NVD создана 30 октября
Почему две оценки различаются: оценка Drupal — это ее собственная 25-балльная шкала, учитывающая наличие эксплойта и возможность эксплуатации при любой конфигурации. Оценка NVD 6,5 получена по формуле CVSS для технического воздействия и не моделирует эксплуатацию. Ни одна не ошибочна, но первая лучше показывает срочность. В записи NVD также указано, что CISA-ADP (координатор) 30 октября отметила эксплуатацию как «none»; Drupal, сопровождающая модуль, говорит, что она активна, поэтому мы следуем заявлению Drupal.
1. Проверьте версию
Ниже 8.x-2.41 или 3.3.13 — затронута
2. Обновитесь
8.x-2.41 или 3.3.13
3. Проведите аудит заказов
Сверьте с записями платежного провайдера
Хронология
28 октября
Команда безопасности Drupal публикует SA-CONTRIB-2026-254 с исправленными версиями и говорит, что недостаток активно эксплуатируется.30 октября
NVD создает запись для CVE-2026-118539 (Awaiting Analysis; CVSS 6,5 от CISA-ADP).
Что известно и что нет
| Пункт | Статус |
|---|---|
| Эксплуатация | Заявлена Drupal; без подробностей |
| Затронутые и исправленные версии | Опубликованы Drupal (см. выше) |
| NVD | Awaiting Analysis; CVSS 6,5 от CISA-ADP |
| CISA KEV | Не включена по состоянию на 31 октября |
| Масштаб атак и что было сделано с заказами | Не раскрыто |
Источники
Проверено 31 октября 2026 года (JST).
- Drupal.org, «Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254» (28 октября 2026) — drupal.org
- NVD, CVE-2026-118539 — nvd.nist.gov
- CISA, каталог известных эксплуатируемых уязвимостей (проверено 31 октября; не включена) — cisa.gov
История обновлений
2026-10-31: Первая версия, основанная на бюллетене Drupal и NVD.
Читайте далее
- Еще одна эксплуатируемая уязвимость платформы для магазинов: Adobe Commerce и Magento CVE-2026-48356
- Расстановка приоритетов: Как решить, какие CVE исправлять первыми (CVSS, EPSS, KEV)
- Шаги реагирования: Руководство по устранению уязвимостей
- Термины: Что такое CVSS?