Съветът на Drupal за Commerce Core дава на търговеца две задачи. Първата е обичайната: обнови. Втората е необичайна: отвори поръчките си и потърси несъответствия, защото, пише съветът, дупката вече се експлоатира.
Факт
Фактите: на 28 октомври 2026 г. екипът по сигурност на Drupal публикува съвет SA-CONTRIB-2026-254 за модула Commerce Core, с идентификатор CVE-2026-118539. Рискът е оценен Highly critical, 21 от 25 по скалата на Drupal, а типът е заобикаляне на достъпа. Съветът пише, че модулът не защитава достатъчно някои маршрути и полета на обекти. Засегнати са версиите преди 2.41 и от 3.0.0 до преди 3.3.13. Поправката за линията 3.x е Commerce Core 3.3.13, за по-старите - Commerce Core 8.x-2.41. Съветът казва, че дупката се експлоатира в реални атаки и че сайтовете трябва да прегледат поръчките си за несъответствия.
Дупката е в магазина, а не в сайта около него. Commerce Core е модул на Drupal за продажба на стоки и услуги през количка и плащане, а съветът казва, че пропускът може да засегне търговеца финансово. Причината, която дава: модулът не пази достатъчно някои маршрути и полета на обекти.
Колко магазина са ударени, от кога тече атаката и какво точно се променя в поръчките, съветът не казва. Не казва и кой атакува. Признаци, по които да търсиш, съветът не изброява: дава само задачата да прегледаш поръчките.
Кръпката е за напред.
Затова обновяването е половината работа. Втората половина е счетоводна. Ето откъде бих почнал: сравни поръчките с отчета на платежния си доставчик и потърси разлики. Съветът не го разписва, това е моя логика.
Същия ден Drupal пусна още съвети за Commerce Core, Commerce Stripe, Commerce Shipping и Commerce License. От тях в списъка на drupal.org само този е отбелязан като експлоатиран.
Обнови до 3.3.13 или до 8.x-2.41, ако си на по-старата линия, и после отвори поръчките. Докъде назад да гледаш, съветът не казва, затова върви толкова назад, колкото имаш данни.
Официални първоизточници
Drupal SA-CONTRIB-2026-254 (CVE-2026-118539)Drupal security advisories (contributed projects)Визуалът към статията е генериран код-арт, без чужди изображения.