LONDON (IT BOLTWISE) – Drupal warnt vor einer als „highly critical“ eingestuften Schwachstelle im Commerce Core, die eine fehlende Autorisierung ausnutzt. Betroffen sind Commerce Core-Versionen von 0.0.0 bis 2.41 sowie von 3.0.0 bis 3.3.13. Laut Advisory werden die Datenpfade und Entity-Felder nicht ausreichend geschützt, wodurch ein Access-Bypass entstehen kann, der den Händler finanziell trifft. Anwender sollen auf die Version 3.3.13 bzw. den aktuellen 3.x-Stand aktualisieren.
Drupal hat eine akute Sicherheitswarnung für den Commerce Core veröffentlicht: In einem Advisory heißt es, dass die Schwachstelle „actively exploited in the wild“ sei. Im Kern geht es um einen Authorization-Bypass durch fehlende Prüfung, der es Angreifern erlaubt, bestimmte Routen oder Entity-Felder zu erreichen, ohne die vorgesehenen Rechte sauber durchzusetzen. Für Unternehmen ist das besonders brisant, weil Commerce Core zentralen Datenzugriff mit Einkaufswagen- und Checkout-Prozessen verbindet – und genau diese Pfade laut Beschreibung nicht hinreichend abgesichert sind. Damit verschiebt sich das Risiko vom klassischen Informationsleck hin zu einem potenziell finanziell wirksamen Zugriffsszenario.
Technisch ist die Lücke als CVE-2026-118539 erfasst; der CVSS-Score wird in der Mitteilung mit N/A angegeben. Inhaltlich ordnet Drupal das Problem als fehlende Autorisierung ein, die Commerce Core in mehreren Release-Bändern betrifft: von 0.0.0 bis 2.41 und zusätzlich von 3.0.0 bis 3.3.13. Die zentrale Funktionsbeschreibung von Drupal unterstreicht dabei den Wert der Komponente: „This module enables you to sell goods and services to customers through an included shopping cart and checkout form or through decoupled applications via APIs, “ heißt es im Advisory. Und weiter: „The module doesn’t sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor.“ Entscheidend ist also nicht nur, dass ein Weg offen ist, sondern dass Drupal gezielt betont, welche Schutzschichten fehlen.
Damit wird auch klar, warum die betroffene Versionenspanne so breit und operativ anspruchsvoll ist. Wer Commerce Core über mehrere Upgrades hinweg betreibt, muss häufig prüfen, welche tatsächliche Paketversion in Produktion läuft und wie der Commerce-Stack in das Frontend oder in entkoppelte API-Anwendungen eingebunden ist. Drupal nennt ausdrücklich sowohl den integrierten Warenkorb- und Checkout-Flow als auch den Zugriff über APIs für „decoupled applications“. In der Praxis bedeutet das: Eine Lücke in der Autorisierungslogik kann je nach Architektur entweder im Web-Request-Kontext oder in API-Endpunkten sichtbar werden. Selbst wenn Angriffe in der Detailausführung nicht spezifiziert wurden, ist der nächste Schritt für Sicherheitsverantwortliche relativ eindeutig: Update auf den empfohlenen Stand, konkret auf Commerce Core 3.3.13 in der 3.x-Reihe.
Die Verantwortlichen erhalten in der Meldung außerdem konkrete Hinweise zur Einordnung: Die Community hat die Forscher Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) und Robert Snyder (rsnyd) für die Meldung der Schwachstelle genannt. Gleichzeitig wächst der Druck auf Teams, die bereits mit dem nächsten Wellenkamm von Schwachstellen konfrontiert sind. Denn parallel berichtet die Quelle über zwei kritische PHP-Sicherheitslücken—CVEs CVE-2026-109618 und CVE-2026-109619 mit einem CVSS-Score von 9,2 – die unter dem Sammelbegriff „PHP2Shell“ laufen und ebenfalls „active exploitation attempts in the wild“ sehen. Diese Parallelität ist ein Signal dafür, wie schnell sich öffentlich bekannte Exploit-Methoden in wiederverwendbare Angriffsmuster verwandeln können.
Ein weiterer Markt- und Operationsaspekt liegt in der Messung des Ausnutzungsgrads. Laut Daten, die dem Umfeld des Cloud Security Unternehmens zugeschrieben werden, lag der Anteil der „significantly affected“ Organisationen im Zusammenhang mit PHP2Shell bis zum 25. Oktober bei 52,1%, nachdem er zuvor offenbar höher gewesen ist. Interessant ist zudem, dass die Beobachtungen zwei Kategorien unterscheiden: Zum einen gibt es Versuche, die das PHP2Shell-Exploit-Muster nutzen und damit öffentliche Proof-of-Concepts (PoCs) nachbilden. Zum anderen tauchen „PHP2Shell“-brandete Tools auf, die nach Angaben der Wiz-Forscher nicht direkt dieselben Schwachstellen adressieren, sondern stattdessen auf Session-Poisoning sowie eine separate Local-File-Inclusion-(LFI)-Schwachstelle in der betroffenen Anwendung setzen. Genau diese Unterscheidung hilft Unternehmen beim Threat-Modeling, weil sie zeigt, wie wichtig es ist, nicht nur „CVE-Namen“ zu patchen, sondern das tatsächliche Angriffsverhalten zu prüfen.
Für die praktische Schutzwirkung zieht die Mitteilung eine klare Konsequenz: Patch-Management muss eng mit Validierung und Monitoring gekoppelt werden. Bei der Drupal-Lücke nennt Drupal zwar keine Details zum konkreten Vorgehen, aber der beschriebene Access-Bypass legt nahe, dass Logikfehler in der Autorisierung schnell zu unerwarteten Zugriffsmustern führen. Dazu kommt, dass die Quelle bei PHP2Shell explizit erklärt, warum PoCs nicht automatisch zuverlässig funktionieren: „Our observations show that triggering memory exhaustion alone is not enough to complete the exploit chain.“ Außerdem nennt sie Gründe wie Unterschiede in PHP-Builds, Memory Limits und Worker-Verhalten. Für Abteilungen, die Angriffe reproduzieren oder auswerten, ist das ein Hinweis darauf, dass die erfolgreiche Ausnutzung in Produktion oft von der konkreten Laufzeitumgebung abhängt – und daher sollten Incident-Responder auch systemnahe Telemetrie (z. B. Auth-Entscheidungen, ungewöhnliche Routenaufrufe, API-Zugriffe) mitdenken.
Aus strategischer Sicht rückt damit eine bewährte Priorisierung in den Vordergrund: erstens, Commerce- und Zahlungsnahe Komponenten nicht als „nice to have“ zu behandeln, sondern als potenziell unmittelbare Angriffsfläche. Zweitens, die aktuelle Version von Commerce Core zu verifizieren, nicht nur die geplanten Upgrade-Tickets im Backlog abzuhaken. Drittens, parallel die PHP-Umgebung im Blick zu behalten, weil „PoC-zu-Tool“-Übergänge offenbar in Wellen passieren. Unternehmen, die sowohl Drupal-basierte Commerce-Workflows als auch PHP-nahe Anwendungen betreiben, sollten deshalb die beiden Themenstränge zusammen testen: Commerce Core nachziehen und gleichzeitig die PHP-Sicherheitslage anhand der CVEs und beobachteten Exploit-Klassen neu bewerten. So lässt sich der Zeitraum zwischen Patchverfügbarkeit und realer Risikoabsenkung verkürzen – genau dort, wo Angreifer erfahrungsgemäß am häufigsten „actively exploited“ ansetzen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Drupal Commerce Core: Authentifizierungs-Bypass wird aktiv ausgenutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Drupal Commerce Core: Authentifizierungs-Bypass wird aktiv ausgenutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Drupal Commerce Core: Authentifizierungs-Bypass wird aktiv ausgenutzt« bei Google Deutschland suchen, bei Bing oder Google News!