La vulnerabilità di Drupal Commerce viene sfruttata attivamente
Secondo Drupal, una vulnerabilità di Drupal Commerce causata dalla mancanza di controlli di authorization viene sfruttata attivamente. I controlli di authorization sono le regole che determinano se un visitatore o un account è autorizzato ad accedere a una funzione o a modificare informazioni. La falla è identificata come CVE-2026-118539, un identificatore standard utilizzato per catalogare le vulnerabilità di sicurezza divulgate pubblicamente. Non è indicata alcuna valutazione Common Vulnerability Scoring System (CVSS), sebbene Drupal classifichi il problema come altamente critico.
La vulnerabilità interessa le versioni di Commerce Core dalla 0.0.0 alla 2.41 e dalla 3.0.0 alla 3.3.13. Commerce Core aggiunge a Drupal funzionalità per la vendita online, tra cui un carrello e un modulo di checkout. Può inoltre supportare applicazioni separate tramite interfacce API, che consentono a sistemi software diversi di scambiare informazioni e comandi.
Drupal afferma che Commerce Core non protegge adeguatamente alcune route ed entity fields. Una route è un percorso all'interno di un'applicazione web che conduce a una determinata pagina o funzione, mentre un entity field è un'informazione memorizzata associata a un elemento, come un prodotto, un ordine o il record di un cliente. Il conseguente access bypass potrebbe avere ripercussioni finanziarie per il commerciante che gestisce il negozio. Drupal non ha descritto che cosa stiano facendo gli autori degli attacchi con la falla né quanto sia estesa l'attività di sfruttamento; pertanto, le conseguenze esatte osservate nei negozi interessati non sono ancora confermate.
Le informazioni sulle versioni richiedono particolare attenzione. Drupal raccomanda ai siti che utilizzano il branch 3.x di eseguire l'upgrade a Commerce Core 3.3.13, mentre le installazioni precedenti dovrebbero passare a Commerce Core 8.x-2.41. Tuttavia, tali release costituiscono anche gli estremi degli intervalli interessati così come sono stati indicati. Poiché, nella formulazione pubblicata, gli intervalli interessati e le versioni consigliate per l'upgrade si sovrappongono, gli amministratori dovrebbero consultare l'advisory Drupal aggiornato prima di stabilire che un'installazione non sia più esposta. Drupal ha riconosciuto il contributo di tre ricercatori che hanno segnalato la vulnerabilità.
Per i proprietari di siti web, il compito immediato consiste nel verificare se il sito utilizza Commerce Core e nell'identificare la versione installata. I negozi che rientrano in uno dei due intervalli indicati dovrebbero essere considerati potenzialmente interessati mentre viene verificata la discrepanza relativa alle versioni. I proprietari di siti che non gestiscono direttamente i componenti Drupal dovrebbero chiedere al proprio sviluppatore o amministratore di hosting di confermare la release installata e applicare le indicazioni Drupal aggiornate. Poiché la debolezza segnalata riguarda l'accesso a route e campi memorizzati, gli operatori dovrebbero anche esaminare l'attività del negozio e i record finanziari alla ricerca di modifiche che non riconoscono.
Separatamente, anche due vulnerabilità critiche di PHP denominate PHP2Shell sono oggetto di tentativi di sfruttamento attivo. PHP è un software ampiamente utilizzato per il funzionamento di siti web dinamici e applicazioni web. Le falle sono CVE-2026-109618 e CVE-2026-109619 e ciascuna ha un punteggio CVSS pari a 9,2. CVSS è una scala numerica utilizzata per descrivere la gravità tecnica di una vulnerabilità.
La società di sicurezza cloud Wiz ha riferito che, al 25 ottobre, la percentuale di organizzazioni colpite in modo significativo da PHP2Shell era scesa al 52,1%. Wiz ha identificato due tipi di attività. Uno riguardava tentativi basati sul metodo di sfruttamento PHP2Shell che corrispondevano a codice proof-of-concept (PoC) disponibile pubblicamente, ossia codice dimostrativo che mostra come sia possibile attivare una vulnerabilità.
La seconda categoria comprendeva strumenti che utilizzavano il nome PHP2Shell pur non essendo collegati alle due vulnerabilità. Secondo Wiz, questi strumenti dipendevano invece dal session poisoning, che manipola le informazioni memorizzate per la sessione web di un utente, e da una distinta falla di local file inclusion (LFI) presente in un'applicazione. LFI è una debolezza che può indurre un'applicazione a caricare un file locale che non dovrebbe esporre.
Wiz ha inoltre scoperto che provocare il memory exhaustion, ossia consumare la memoria disponibile per PHP, non era di per sé sufficiente a completare l'attack chain di PHP2Shell. Le differenze tra le build di PHP, i limiti di memoria configurati e il comportamento dei worker process potevano impedire le fasi successive. Secondo la società, gli autori di attacchi opportunistici dovrebbero comunque trasformare il codice PoC pubblico in strumenti operativi più affidabili oppure sviluppare metodi propri.
Per le organizzazioni che necessitano di assistenza nella gestione di questo tipo di rischio per siti web e infrastrutture, AEU-I offre servizi IT, infrastrutturali e di consulenza orientati innanzitutto alla sicurezza. Indipendentemente dal fornitore, gli operatori di Drupal Commerce dovrebbero verificare tempestivamente la propria versione, seguire l'advisory aggiornato e indagare su attività finanziarie o del negozio prive di spiegazione, anziché presumere senza conferma che una versione indicata per l'update sia sicura.