Интернет-магазины на Drupal уже атакуют через уязвимость в оформлении заказов. Злоумышленники пытаются провести покупки с неверной стоимостью или обойти оплату, а разработчики Commerce Core требуют немедленно установить исправления и проверить историю продаж.
Проблема получила номер CVE-2026-118539 и оценку 21 из 25 по шкале безопасности Drupal. Ошибка находится в дополнительном модуле Commerce Core, который отвечает за корзину, оформление покупок и работу торговых функций через API. Из-за недостаточной проверки прав доступа посторонний может взаимодействовать с отдельными маршрутами и полями заказов без необходимых разрешений.
Разработчик Drupal Commerce, компания Centarro, получил два сообщения о попытках мошеннического оформления заказов на действующих сайтах. После проверки совместно с командой безопасности Drupal специалисты не нашли признаков автоматизированной кампании или эксплуатации за пределами первоначально выявленных магазинов. Поэтому говорить о массовом взломе пока нет оснований.
Возможные последствия касаются денег продавцов. Среди подозрительных операций встречались заказы с ценой всего 1 цент, а также с обычной стоимостью. Атакующие могут попытаться оформить заказ, минуя оплату, подделать признак оплаченной покупки, изменить цену товара или добавить несанкционированную скидку. Наличие таких признаков требует проверки, но само по себе не доказывает атаку.
Уязвимость затрагивает версии Commerce Core ниже 8.x-2.41 и выпуски 3.x до 3.3.13. Исправления вышли 28 октября. Опасность распространяется как на обычные магазины с интерфейсом Drupal, так и на проекты с отдельной клиентской частью, которая обращается к магазину через API. Конкретные способы злоупотребления зависят от устройства сайта.
Владельцам магазинов советуют сопоставить оплаченные заказы с реальными платёжными операциями, проверить необъяснимые скидки и ручные изменения цен. Отдельного внимания заслуживают заказы без подтверждённой оплаты и покупки, которые система считает оплаченными, хотя платёжных записей нет. Для магазинов с JSON:API разработчики рекомендуют отключить изменение данных через API, если такая функция не нужна.
Команда Centarro в рекомендациях описала признаки подозрительных покупок и примеры SQL-запросов для их поиска. Разработчики напоминают, что оформление заказа не должно автоматически приводить к отправке товара, пока оплата не подтверждена. Одновременно вышли обновления Commerce API, Commerce License, Commerce Shipping и Commerce Stripe, которые советуют установить вместе с основным модулем.
Канадский центр кибербезопасности 30 октября также предупредил об эксплуатации уязвимости. Ранее Drupal уже сталкивался с опасными ошибками, в том числе с октябрьской проблемой в Field UI. Нынешний случай отличается тем, что атакующие нацелились непосредственно на механизм покупок, поэтому обновление нужно дополнить проверкой уже оформленных заказов.
