Das Modul dient laut Drupal dem Verkauf von Waren und Dienstleistungen an Kunden – entweder über den mitgelieferten Warenkorb und das Checkout-Formular oder über entkoppelte Anwendungen per API. In seinem Sicherheitshinweis schreibt das Projekt, das Modul schütze bestimmte Routen und Entitätsfelder nicht ausreichend, woraus eine Umgehung der Zugriffskontrolle resultiere, die sich finanziell auf den Händler auswirken könne.

Drupal bestätigt, dass die Schwachstelle „aktiv in freier Wildbahn ausgenutzt" wird, nennt aber weder Details zur Art der Aktivitäten noch zum Umfang der Kampagne. Betreibern wird empfohlen, zügig zu aktualisieren:

  • Version 3.x: Update auf Commerce Core 3.3.13
  • ältere Versionen: Update auf Commerce Core 8.x-2.41

Als Melder der Lücke nennt Drupal die Forscher Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) und Robert Snyder (rsnyd).

Parallel dazu werden zwei als kritisch eingestufte PHP-Schwachstellen aktiv angegriffen: CVE-2026-109618 und CVE-2026-109619, beide mit einem CVSS-Wert von 9.2 und zusammen als PHP2Shell bezeichnet. Nach Daten des zu Google gehörenden Cloud-Sicherheitsunternehmens Wiz ist der Anteil der von PHP2Shell deutlich betroffenen Organisationen zum 25. Oktober auf 52,1 Prozent gesunken.

Wiz beobachtete bislang zwei Arten von Aktivitäten: zum einen Versuche, die dem PHP2Shell-Exploit-Mechanismus entsprechen und sich an öffentlich verfügbaren Proof-of-Concept-Exploits orientieren. Zum anderen gebe es „als PHP2Shell vermarktete Werkzeuge, die nichts mit den Schwachstellen zu tun haben und stattdessen auf Session Poisoning sowie einer separaten Local-File-Inclusion-Schwachstelle in der Anwendung beruhen", erklären die Wiz-Forscher Yaara Shriki, Shahar Dorfman, Alma Blachsan und Yaron Samuel.

„Unsere Beobachtungen zeigen, dass das bloße Auslösen einer Speichererschöpfung nicht ausreicht, um die Exploit-Kette abzuschließen. Unterschiede zwischen PHP-Builds, Speichergrenzen und Worker-Verhalten können verhindern, dass die nachfolgenden Stufen funktionieren", so die Forscher. Die Herausforderung für opportunistische Angreifer bestehe darin, die derzeit verfügbaren öffentlichen PoCs in ähnlich zuverlässige einsatzfähige Werkzeuge zu überführen oder eigene zu entwickeln.