Drupal waarschuwt voor een zeer kritisch beveiligingsprobleem in Drupal Commerce Core. Volgens de advisory wordt de kwetsbaarheid actief misbruikt in het wild, met als gevolg dat aanvallers toegang kunnen omzeilen tot bepaalde functies in het shopsysteem. Voor organisaties die Commerce Core gebruiken, is dit een reden om onmiddellijk te patchen.
De kwestie heeft de aanduiding CVE-2026-118539. Drupal vermeldt geen CVSS-score (N/A), maar kwalificeert de impact als financieel relevant: het lek kan direct raken aan het verkoopproces en de verwerking van opdrachten via de e-commercefunctionaliteit.
Wat is het autorisatie-lek in Drupal Commerce Core?
Het probleem draait om ontbrekende autorisatie binnen Commerce Core. Daardoor worden niet alle routes en entityvelden voldoende beschermd. In praktijk betekent dit dat een aanvaller controlebeperkingen kan omzeilen en toegang kan krijgen tot onderdelen die normaal alleen voor geautoriseerde gebruikers bedoeld zijn.
Drupal legt uit dat Commerce Core de basis vormt om goederen en diensten te verkopen via een ingebouwde winkelwagen en checkout, of juist via losgekoppelde applicaties via API’s. Juist omdat het systeem meerdere toegangspaden kent, is het risico breder dan alleen de klassieke webinterface.
Welke versies lopen risico?
Drupal noemt twee reeksen versies waarin de kwetsbaarheid aanwezig is. Voor deze implementaties is actie nodig:
- Commerce Core 0.0.0 tot en met 2.41
- Commerce Core 3.0.0 tot en met 3.3.13
In die ranges is sprake van het autorisatie-bypass-gedrag. Heb je een andere versie in gebruik, dan betekent dat niet automatisch dat je veilig bent, maar de advisory maakt vooral duidelijk waar het probleem zich bevindt. Check daarom altijd je exacte build en updatepad.
Waarom is dit “actief misbruik” belangrijk?
Veel kwetsbaarheden blijven lange tijd onbenut door aanvallers, maar Drupal geeft aan dat dreigingsactoren al gebruikmaken van deze fout. Dat zet extra druk op je herstelproces: je wilt voorkomen dat kwaadwillenden als eerste voordeel behalen uit een bekende zwakte.
Drupal geeft ook aan dat er geen details beschikbaar zijn over de exacte aard of omvang van de campagne. Toch is de combinatie van “actief misbruikt” en “autoristatie bypass” genoeg om te behandelen als een hoog urgentie-onderwerp.
Welke update moet je nu doen?
Drupal adviseert gebruikers om naar de laatste veilige versie(s) te upgraden. De aanbevolen stappen in de advisory zijn:
- Voor 3.x: upgrade naar Commerce Core 3.3.13
- Voor eerdere versies: upgrade naar Commerce Core 8.x-2.41
Welke route het beste is, hangt af van jouw huidige versie en upgradecompatibiliteit. Plan de update dus niet alleen als “een patch”, maar ook als een korte validatieronde: controleer winkelwagen, checkout, en relevante API-endpoints.
Extra context: drukte rondom PHP-kwetsbaarheden
Deze Drupal-melding komt in een periode waarin meerdere PHP-issues met intensief misbruik in de aandacht staan. In dezelfde berichtgeving wordt verwezen naar CVE-2026-109618 en CVE-2026-109619, samen aangeduid als PHP2Shell, waarvoor ook actieve pogingen worden gezien.
Voor incident response is die context nuttig: organisaties die al kwetsbaarheden in de softwareketen hebben, kunnen sneller in meerdere aanvalsfases terechtkomen. De mate van getroffen organisaties wordt door Wiz beschreven als afgenomen, maar dat verandert niets aan de noodzaak om je eigen applicaties en dependencies direct te beoordelen en te updaten.
In de praktijk betekent dit: behandel Drupal Commerce Core als een zelfstandige prioriteit, maar kijk tegelijk of je PHP-stack, runtime-instellingen en beveiligingsmaatregelen op orde zijn.
Wat kun je naast patchen direct controleren?
Patchen is het fundament, maar je kunt je risico ook verkleinen door gerichte checks uit te voeren. Denk aan:
- Inventariseer Commerce Core: bevestig exact welke versie draait en of updates ook voor alle omgevingen (productie, staging, CI) zijn doorgevoerd.
- Controleer blootgestelde routes en entityvelden: richt je aandacht op onderdelen van het systeem die niet voldoende worden afgedekt volgens de advisory.
- Monitor voor ongebruikelijke toegang: let op patronen rond checkout/ordering, mislukte autorisatiechecks en onverwachte sessies.
- Valideer API-toegang: bij decoupled toepassingen kunnen aanvallers via endpoints andere paden proberen dan via de web UI.
Zo maak je je herstel niet alleen “technisch”, maar ook “operationeel” en verklein je de kans dat een aanval al heeft plaatsgevonden.
Snelle samenvatting voor security teams
Drupal Commerce Core heeft een autorisatie-bypass met de code CVE-2026-118539. De kwetsbaarheid wordt actief uitgebuit. Update daarom direct naar de door Drupal geadviseerde versies (3.x naar 3.3.13, eerder naar 8.x-2.41) en voer daarna validatie en monitoring uit.
Wil je vergelijkbare aanpakken zien voor het beperken van actuele exploitrisico’s, dan past het artikel over focus op firewall-issues goed bij de bredere gedachte: beveiliging werkt pas echt als patching en controles samenkomen.
Meer lezen
Omdat kwetsbaarheden in web- en platformcomponenten vaak samenkomen met exploitpogingen op andere lagen, is het ook zinvol om de ontwikkelingen rond misbruik van open source stacks te blijven volgen. Zie bijvoorbeeld PHP2Shell-keten: root op firewalls voor extra context over hoe exploitketens zich kunnen uitbreiden.
Conclusie
Als je Drupal Commerce Core gebruikt, is er geen tijd te verliezen. Drupal stelt dat de autorisatie-bypass al in het wild wordt misbruikt en beperkt zich niet tot een theoretisch risico. Door vandaag nog te updaten naar de aanbevolen versies en door routes, entityvelden en API-toegang te controleren, verklein je de kans dat aanvallers via je commercefunctionaliteit financieel voordeel behalen.
Bron: https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html
