Vulnerability në Drupal Commerce po shfrytëzohet aktivisht
Sipas Drupal, një vulnerability në Drupal Commerce, e shkaktuar nga mungesa e kontrolleve authorization, po shfrytëzohet aktivisht. Kontrollet authorization janë rregullat që përcaktojnë nëse një vizitor ose një llogari lejohet të përdorë një funksion apo të ndryshojë informacion. Dobësia gjurmohet si CVE-2026-118539, një identifikues standard që përdoret për të kataloguar dobësitë e sigurisë të bëra publike. Nuk është listuar asnjë vlerësim nga Common Vulnerability Scoring System (CVSS), megjithëse Drupal e klasifikon problemin si jashtëzakonisht kritik.
Vulnerability prek versionet 0.0.0 deri në 2.41 dhe 3.0.0 deri në 3.3.13 të Commerce Core. Commerce Core i shton Drupal funksione për shitje online, duke përfshirë një shportë blerjesh dhe një formular checkout. Ai mund të mbështesë gjithashtu aplikacione të veçanta përmes API, të cilat u mundësojnë sistemeve të ndryshme software të shkëmbejnë informacion dhe komanda.
Drupal thotë se Commerce Core nuk i mbron në mënyrë të mjaftueshme disa route dhe entity field. Një route është një shteg brenda një aplikacioni web që çon te një faqe ose funksion i caktuar, ndërsa një entity field është një pjesë e ruajtur informacioni që lidhet me një element, si produkti, porosia ose record i klientit. Access bypass që rezulton mund të ketë ndikim financiar te tregtari që administron dyqanin. Drupal nuk ka përshkruar se çfarë po bëjnë sulmuesit me dobësinë ose sa e përhapur është veprimtaria e shfrytëzimit, prandaj pasojat e sakta të vërejtura në dyqanet e prekura mbeten të pakonfirmuara.
Informacioni për versionet kërkon kujdes të veçantë. Drupal rekomandon që faqet në branch 3.x të bëjnë upgrade në Commerce Core 3.3.13, ndërsa instalimet më të hershme duhet të kalojnë në Commerce Core 8.x-2.41. Megjithatë, këto release janë gjithashtu pikat fundore të intervaleve të prekura, sipas formulimit të publikuar. Meqë intervalet e prekura dhe versionet e rekomanduara si objektiv për upgrade mbivendosen në informacionin e shkruar, administratorët duhet të konsultojnë advisory aktual të Drupal para se të vendosin se një instalim nuk është më i ekspozuar. Drupal ua njohu meritën tre kërkuesve për raportimin e vulnerability.
Për pronarët e faqeve web, detyra e menjëhershme është të përcaktojnë nëse faqja përdor Commerce Core dhe të identifikojnë versionin e instaluar. Dyqanet që ndodhen brenda cilitdo prej intervaleve të deklaruara duhet të trajtohen si potencialisht të prekura derisa të kontrollohet mospërputhja e versioneve. Pronarët e faqeve që nuk i menaxhojnë vetë komponentët e Drupal duhet t’i kërkojnë zhvilluesit ose administratorit të hosting të konfirmojë release e instaluar dhe të zbatojë udhëzimet aktuale të Drupal. Meqë dobësia e raportuar lidhet me aksesin te route dhe field të ruajtura, operatorët duhet të shqyrtojnë gjithashtu veprimtarinë e dyqanit dhe të dhënat financiare për ndryshime që nuk i njohin.
Veçmas, dy vulnerability kritike të PHP, të quajtura PHP2Shell, po përballen gjithashtu me përpjekje aktive shfrytëzimi. PHP është software i përdorur gjerësisht për funksionimin e faqeve dinamike dhe aplikacioneve web. Dobësitë janë CVE-2026-109618 dhe CVE-2026-109619 dhe secila ka një rezultat CVSS prej 9.2. CVSS është një shkallë numerike që përdoret për të përshkruar ashpërsinë teknike të një vulnerability.
Kompania e sigurisë cloud Wiz raportoi se, deri më 25 tetor, përqindja e organizatave të prekura ndjeshëm nga PHP2Shell kishte rënë në 52.1%. Wiz identifikoi dy lloje veprimtarish. Njëri përfshinte përpjekje që përdornin metodën e shfrytëzimit PHP2Shell dhe përputheshin me kodin proof-of-concept (PoC) të disponueshëm publikisht, i cili është kod demonstrues që tregon se një vulnerability mund të aktivizohet.
Kategoria e dytë përbëhej nga mjete që përdornin emrin PHP2Shell, edhe pse nuk kishin lidhje me dy vulnerability. Wiz tha se këto mjete mbështeteshin në vend të kësaj te session poisoning, që manipulon informacionin e ruajtur për session e një përdoruesi në një faqe web, si dhe te një dobësi e veçantë local file inclusion (LFI) në një aplikacion. LFI është një dobësi që mund ta bëjë një aplikacion të ngarkojë një file lokal që nuk duhet ta ekspozojë.
Wiz zbuloi gjithashtu se shkaktimi i memory exhaustion, pra konsumimi i memories në dispozicion të PHP, nuk ishte në vetvete i mjaftueshëm për të përfunduar attack chain të PHP2Shell. Dallimet mes build të PHP, kufijve të konfiguruar të memories dhe sjelljes së worker processes mund t’i ndalonin fazat e mëvonshme. Sipas kompanisë, sulmuesve oportunistë do t’u duhej ende ta shndërronin kodin publik PoC në mjete operative më të besueshme ose të zhvillonin metodat e tyre.
Për organizatat që kanë nevojë për ndihmë në menaxhimin e këtij lloji rreziku për faqet web dhe infrastrukturën, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Pavarësisht ofruesit, operatorët e Drupal Commerce duhet ta verifikojnë menjëherë versionin e tyre, të ndjekin advisory aktual dhe të hetojnë veprimtarinë e pashpjegueshme në dyqan ose në financa, në vend që të supozojnë pa konfirmim se një version i përcaktuar si objektiv i update është i sigurt.