Drupal, Commerce Core bileşenindeki "son derece kritik" güvenlik açığının tehdit aktörleri tarafından aktif olarak istismar edildiği konusunda uyardı.
Açık, CVE-2026-118539 olarak izleniyor (CVSS puanı: N/A) ve Commerce Core'un 0.0.0'dan 2.41'e ve 3.0.0'dan 3.3.13'e kadar olan sürümlerini etkileyen eksik yetkilendirme sorunu.
Drupal'ın uyarısında "Bu modül, dahili bir alışveriş sepeti ve ödeme formu aracılığıyla veya API'ler üzerinden ayrık uygulamalarla müşterilere mal ve hizmet satmanızı sağlar" denildi.
"Modül, belirli rotaları ve varlık alanlarını yeterince korumuyor ve bu durum satıcıyı mali açıdan etkileyebilecek bir erişim atlamasına yol açıyor."
Açık kaynaklı içerik yönetim çerçevesi, açığın "yabanda aktif olarak istismar edildiğini" kabul etti ancak faaliyetin niteliği veya kampanyanın kapsamı hakkında ayrıntı vermedi.
Kullanıcılara en son sürüme güncelleme öneriliyor.
Sürüm 3.x için Commerce Core 3.3.13'e yükseltin.
Daha eski sürümler için Commerce Core 8.x-2.41'e yükseltin.
Drupal, açığı bildiren araştırmacılar olarak Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd)'yi gösterdi.
Gelişme, CVE-2026-109618 ve CVE-2026-109619 olarak izlenen ve topluca PHP2Shell olarak adlandırılan PHP'deki iki kritik güvenlik açığının yabanda aktif istismar girişimlerine maruz kaldığı bir dönemde geldi. Bu açıkların CVSS puanları 9.2.
Google'a ait Wiz'den alınan verilere göre 25 Ekim itibarıyla PHP2Shell'den önemli ölçüde etkilenen kuruluşların oranı yüzde 52,1'e geriledi.
Bulut güvenlik şirketi, şimdiye kadar iki tür faaliyet gözlemlediğini söyledi; bunlardan biri kamuya açık kanıt-oluşturma (PoC) açıklarıyla eşleşen PHP2Shell istismar mekanizmasını kullanan girişimler.
Diğer kategori, Wiz araştırmacıları Yaara Shriki, Shahar Dorfman, Alma Blachsan ve Yaron Samuel'e göre, "açıklarla ilgisi olmayan ancak bunun yerine oturum zehirleme ve uygulamadaki ayrı bir yerel dosya dahil etme (LFI) açığına dayanan PHP2Shell markalı araçları" ifade ediyor.
"Gözlemlerimiz, yalnızca bellek tükenmesini tetiklemenin istismar zincirini tamamlamak için yeterli olmadığını gösteriyor. PHP derlemelerindeki farklılıklar, bellek sınırları ve çalışan davranışı sonraki aşamaların çalışmasını engelleyebilir. Fırsatçı saldırganlar için zorluk, halihazırda mevcut olan kamuya açık PoC'leri benzer şekilde güvenilir operasyonel araçlara dönüştürmek ya da bunları kendi başlarına geliştirmektir."
