دروپال در مورد نقص حیاتی Commerce Core که در حملات مورد سوء استفاده قرار می گیرد، هشدار می دهد

دروپال به ادمین‌ها هشدار داد که آسیب‌پذیری بای پس دسترسی حیاتی را در ماژول Commerce Core که مهاجمان در طبیعت از آن سوء استفاده می‌کنند، وصله کنند.

این نقص که به‌عنوان CVE-2026-118539 ردیابی می‌شود، ناشی از ضعف مجوز گم‌شده است که می‌تواند توسط مهاجمان احراز هویت نشده مورد سوء استفاده قرار گیرد و نسخه‌های Commerce Core 0.0.0 تا 2.41 و 3.0.0 تا 3.3.13 را تحت تأثیر قرار دهد.

تیم امنیتی دروپال از مدیران شعبه 3.x خواست تا فورا به Commerce Core 3.3.13 (یا Commerce Core 8.x-2.41 برای نسخه‌های قبلی) ارتقا داده و دستورات را برای ناسازگاری بررسی کنند، زیرا عوامل تهدید از این آسیب‌پذیری در حملات سوء استفاده می‌کنند.

دروپال در مشاوره چهارشنبه با برچسب بسیار حیاتی گفت: «این ماژول به شما امکان می‌دهد تا کالاها و خدمات را از طریق یک سبد خرید و فرم تسویه حساب یا از طریق برنامه‌های کاربردی جداشده از طریق APIها به مشتریان بفروشید.

"این ماژول به اندازه کافی از مسیرها و فیلدهای موجودیت خاص محافظت نمی کند، که منجر به یک دور زدن دسترسی می شود که ممکن است بر فروشنده تأثیر مالی بگذارد. این آسیب پذیری به طور فعال در طبیعت مورد سوء استفاده قرار می گیرد."

Commerce Core یک ماژول دروپال توسعه یافته توسط جامعه است که توسط بیش از 42000 وب سایت، از جمله بسیاری از سازمان های برجسته مانند شرکت های Fortune 500 و دانشگاه های تحقیقاتی استفاده می شود.

این ماژول یک چارچوب نرم افزاری برای ساخت و اجرای سایت های تجارت الکترونیک و برنامه های خرید در بالای سیستم مدیریت محتوای دروپال (CMS) ارائه می دهد.

در ماه مه، دروپال همچنین هشدار داد که مهاجمان از یک آسیب‌پذیری تزریق SQL (CVE-2026-9082) در API انتزاعی پایگاه داده استفاده می‌کنند که می‌تواند منجر به افزایش امتیاز، افشای اطلاعات و اجرای کد از راه دور شود.

چند روز بعد، آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) این نقص را به کاتالوگ آسیب پذیری های شناخته شده (KEV) خود اضافه کرد و به آژانس های فدرال دستور داد تا سیستم های خود را ظرف سه روز اصلاح کنند.

دو هفته پیش، دروپال دو مشکل امنیتی اجرای کد از راه دور دیگر (CVE-2026-108097 و CVE-2026-108099) را اصلاح کرد که می توانست به عوامل تهدید امکان اجرای کد از راه دور را بدهد و از مدیران خواست تا در اسرع وقت به روز رسانی ها را اعمال کنند زیرا مهاجمان می توانند در چند ساعت یا چند روز اکسپلویت ها را توسعه دهند.

طی چند سال گذشته، CISA 5 آسیب‌پذیری دروپال را که در طبیعت مورد سوء استفاده قرار گرفته‌اند، شناسایی کرده است که دو مورد از آنها نیز توسط باج‌افزارها مورد سوء استفاده قرار گرفته‌اند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

گزارش InfraTrust در مورد نقص های سوء استفاده شده در زیرساخت شبکه حیاتی هشدار می دهد

هکرها از نقص Collabora RCE برای درب پشتی سرورهای Nextcloud سوء استفاده می کنند

Arista وصله های جدید VeloCloud Orchestrator zero-day را که در حملات مورد سوء استفاده قرار می گیرد

CISA: هکرها نقایص Plex را در حملات Plex2Shell برای نفوذ به سرورها زنجیره‌ای می‌کنند

هکرها از نقص SiteGuard WAF برای اجرای دستورات به عنوان ادمین سوء استفاده می کنند