Магазины на Drupal атакуют через дыру в оформлении заказа — обновите модуль

Коротко. 28 октября 2026 команда безопасности Drupal закрыла критическую дыру в модуле Commerce Core (корзина и оформление заказа). Без входа злоумышленник может обойти ограничения доступа к части функций магазина — это бьёт по продавцу деньгами. Drupal прямо пишет: уязвимость уже используют. Нужны обновление модуля и проверка заказов.

Касается ли это вас.

• Да, если интернет-магазин на Drupal и стоит Commerce Core ниже исправляющей версии.
• Скорее всего нет, если магазин на WordPress / Tilda / другом движке без Drupal Commerce.
• Не знаете — спросите у того, кто делал сайт: «это Drupal и модуль Commerce?»

Чем грозит. Искажённые заказы, обход нормальной оплаты или скидок, прямой финансовый ущерб. В официальном бюллетене это не описано как «захват всего сервера», но для магазина ущерб уже сейчас.

Что сделать в первую очередь (сегодня).

1. Есть доступ к Drupal: в «Extend» / «Расширения» посмотрите версию Commerce. Ветка 3.x — нужна 3.3.13; более ранняя линия — 8.x-2.41. Сделайте копию сайта и базы, затем обновите модуль.
2. Просмотрите заказы за последние дни: странные суммы, статусы, скидки, количество товара, заказы без ожидаемой оплаты.
3. Нет доступа — перешлите готовый текст разработчику или хостингу.

Получилось, если в «Extend» / «Расширения» видна исправляющая версия и сайт/оформление заказа открываются. Не получилось — не ставьте «патчи» с форумов; пишите тому, кто сопровождает сайт.

Что сделать во вторую очередь (на этой неделе).

1. Проверьте список администраторов и недавние изменения на сайте.
2. Убедитесь, что обновления Drupal и модулей не отключены «насовсем».
3. Если магазин критичен для выручки — договоритесь с подрядчиком о мониторинге заказов на ближайшие дни.

Если сразу не получается.

• Временно остановите оформление заказа или витрину через того, кто ведёт сайт, пока модуль не обновят.
• Официальных «включите галочку вместо обновления» Drupal не дал.

Готовый текст для разработчика или поддержки.

Здравствуйте! 28.10.2026 Drupal опубликовал SA-CONTRIB-2026-254: критический access bypass в Commerce Core, CVE-2026-118539, активная эксплуатация. Затронуты версии < 2.41 и ≥ 3.0.0 < 3.3.13. Нужно обновить до Commerce Core 3.3.13 или 8.x-2.41, затем проверить заказы на аномалии (сумма, статус, скидки, оплата). Сайт: <адрес>. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-03-drupal-commerce/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-03-drupal-commerce/

Источник. Бюллетень Drupal: https://www.drupal.org/sa-contrib-2026-254 · Алерт канадского Cyber Centre AV26-1105: https://www.cyber.gc.ca/en/alerts-advisories/drupal-security-advisory-av26-1105