Schwachstelle in Drupal Commerce wird aktiv ausgenutzt
Eine Schwachstelle in Drupal Commerce, die durch fehlende authorization-Prüfungen verursacht wird, wird laut Drupal aktiv ausgenutzt. authorization-Prüfungen sind Regeln, die bestimmen, ob ein Besucher oder ein Konto auf eine Funktion zugreifen oder Informationen ändern darf. Die Schwachstelle wird unter CVE-2026-118539 geführt, einer standardisierten Kennung zur Katalogisierung öffentlich bekannt gegebener Sicherheitslücken. Es ist keine Bewertung nach dem Common Vulnerability Scoring System (CVSS) angegeben, Drupal stuft das Problem jedoch als äußerst kritisch ein.
Die Schwachstelle betrifft die Commerce Core-Versionen 0.0.0 bis 2.41 sowie 3.0.0 bis 3.3.13. Commerce Core ergänzt Drupal um Funktionen für den Onlineverkauf, darunter einen Warenkorb und ein Checkout-Formular. Es kann außerdem separate Anwendungen über application programming interfaces (APIs) unterstützen, über die verschiedene Softwaresysteme Informationen und Befehle austauschen können.
Drupal zufolge schützt Commerce Core einige routes und entity fields nicht ausreichend. Eine route ist ein Pfad innerhalb einer Webanwendung, der zu einer bestimmten Seite oder Funktion führt. Ein entity field ist eine gespeicherte Information, die einem Element wie einem Produkt, einer Bestellung oder einem Kundendatensatz zugeordnet ist. Der daraus entstehende access bypass könnte finanzielle Auswirkungen auf den Händler haben, der den Shop betreibt. Drupal hat nicht beschrieben, wie Angreifer die Schwachstelle ausnutzen oder wie weit die Angriffe verbreitet sind. Daher sind die genauen Folgen, die in betroffenen Shops beobachtet wurden, noch nicht bestätigt.
Bei den Versionsangaben ist besondere Vorsicht geboten. Drupal empfiehlt Websites im 3.x-branch ein Upgrade auf Commerce Core 3.3.13, während ältere Installationen auf Commerce Core 8.x-2.41 wechseln sollten. Diese releases bilden laut den veröffentlichten Angaben jedoch zugleich die Endpunkte der betroffenen Versionsbereiche. Da sich die betroffenen Bereiche und die empfohlenen Upgrade-Ziele in der vorliegenden Form überschneiden, sollten Administratoren den aktuellen Sicherheitshinweis von Drupal prüfen, bevor sie davon ausgehen, dass eine Installation nicht mehr gefährdet ist. Drupal würdigte drei Sicherheitsforscher für das Melden der Schwachstelle.
Websitebetreiber sollten zunächst feststellen, ob ihre Website Commerce Core verwendet, und die installierte Version ermitteln. Shops, deren Version in einen der beiden angegebenen Bereiche fällt, sollten als potenziell betroffen betrachtet werden, solange die Unstimmigkeit bei den Versionsangaben nicht geklärt ist. Websitebetreiber, die Drupal-Komponenten nicht selbst verwalten, sollten ihren Entwickler oder Hosting-Administrator bitten, das installierte release zu bestätigen und die aktuellen Anweisungen von Drupal umzusetzen. Da die gemeldete Schwachstelle den Zugriff auf routes und gespeicherte fields betrifft, sollten Betreiber außerdem die Shopaktivitäten und Finanzunterlagen auf Änderungen prüfen, die ihnen unbekannt sind.
Unabhängig davon werden auch zwei kritische PHP-Schwachstellen mit der Bezeichnung PHP2Shell aktiv angegriffen. PHP ist eine weitverbreitete Software zum Betrieb dynamischer Websites und Webanwendungen. Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt und haben jeweils einen CVSS-Wert von 9,2. CVSS ist eine numerische Skala zur Beschreibung des technischen Schweregrads einer Schwachstelle.
Das Cloud-Sicherheitsunternehmen Wiz berichtete, dass der Anteil der erheblich von PHP2Shell betroffenen Organisationen zum 25. Oktober auf 52,1 Prozent gesunken war. Wiz identifizierte zwei Arten von Aktivitäten. Bei einer davon handelte es sich um Versuche mit der PHP2Shell-Angriffsmethode, die mit öffentlich verfügbarem proof-of-concept (PoC)-Code übereinstimmten. Dabei handelt es sich um Demonstrationscode, der zeigt, dass eine Schwachstelle ausgelöst werden kann.
Die zweite Kategorie bestand aus Tools, die den Namen PHP2Shell verwendeten, obwohl sie nicht mit den beiden Schwachstellen zusammenhingen. Laut Wiz stützten sich diese Tools stattdessen auf session poisoning, wobei Informationen manipuliert werden, die für die Website-Session eines Benutzers gespeichert sind, sowie auf eine separate local file inclusion (LFI)-Schwachstelle in einer Anwendung. LFI ist eine Schwachstelle, durch die eine Anwendung eine lokale Datei laden kann, die sie nicht offenlegen sollte.
Wiz stellte außerdem fest, dass das Verursachen einer Speichererschöpfung, also das Aufbrauchen des für PHP verfügbaren Speichers, allein nicht ausreichte, um die PHP2Shell attack chain abzuschließen. Unterschiede zwischen PHP-builds, konfigurierte Speichergrenzen und das Verhalten von worker processes konnten spätere Phasen verhindern. Dem Unternehmen zufolge müssten opportunistische Angreifer öffentlich verfügbaren PoC-Code weiterhin in zuverlässigere einsatzfähige Tools umwandeln oder eigene Methoden entwickeln.
Für Organisationen, die Unterstützung beim Umgang mit derartigen Website- und Infrastrukturrisiken benötigen, bietet AEU-I IT-, Infrastruktur- und Beratungsleistungen mit einem konsequenten Schwerpunkt auf Sicherheit an. Unabhängig vom jeweiligen Anbieter sollten Betreiber von Drupal Commerce ihre Version zeitnah überprüfen, den aktuellen Sicherheitshinweis befolgen und unerklärliche Shop- oder Finanzaktivitäten untersuchen, anstatt ohne Bestätigung davon auszugehen, dass ein Upgrade-Ziel sicher ist.