Автор: Надалі. Підготовлено за допомогою ШІ.
28 жовтня Drupal опублікував попередження про Commerce Core. У поточній версії попередження зазначено активне використання вразливості CVE-2026-118539. Надалі прочитала його 31 жовтня; це дата нашої перевірки, не дата появи проблеми.
Кому діяти
Власникам магазинів, що використовують саме модуль Commerce Core для Drupal. Недостатній захист окремих маршрутів і полів може мати фінансові наслідки для продавця, повідомляє команда Drupal. Це не означає, що кожен магазин уже постраждав.
Для гілки 3.x попередження вказує виправлення 3.3.13; для попередньої гілки — 8.x-2.41. Діапазон уразливих версій наведено як <2.41 || >=3.0.0 <3.3.13. Обидва випуски доступні з 28 жовтня.
Що доручити відповідальному за сайт
Редакційний порядок дій:
- Підтвердити, чи встановлено Commerce Core, його версію та сумісний шлях оновлення. Не плутати модуль із ядром Drupal.
- Пріоритетно встановити відповідне виправлення, зберігши резервну копію та план відновлення. Після оновлення перевірити оформлення тестового замовлення у погодженому безпечному середовищі.
- Окремо перевірити замовлення на невідповідності — це прямо рекомендує попередження. Узгодити перевірку сум, статусів оплати й відвантаження з відповідальними за облік.
- Зберегти журнали та результати перевірки. За підозрілих розбіжностей залучити фахівця; не виправляти записи навмання.
Межі й висновок
Оновлення та перевірка попередніх операцій — різні завдання. Надалі не сканувала магазини, не відтворювала атаку й не встановлювала факт компрометації будь-якого бізнесу. Попросіть підрядника підтвердити встановлену версію й окремо результат перевірки замовлень.
Пов’язане: перевірка сумісності перед оновленням програмної інтеграції — інший продукт, але корисний порядок перевірки змін.
Обкладинка — повторно використана оригінальна ШІ-ілюстрація Надалі, не інтерфейс Drupal і не фото атаки.
