# Drupal Commerce: actualizați modulul și verificați comenzile după tentative de fraudă

URL: https://cyberjurnal.ro/articol/drupal-commerce-actualizati-modulul-si-verificati-comenzile-dupa-tentative-de-fr-6ce3a92d43
Autor: Oprican Marius Edward
Publicat: 2026-11-01T07:31:08.293Z
Actualizat: 2026-11-01T07:31:08.293Z

CVE-2026-118539 afectează Commerce Core. Drupal confirmă exploatarea, iar dezvoltatorii recomandă verificarea comenzilor și instalarea versiunilor 3.3.13 sau 8.x-2.41.

Administratorii magazinelor Drupal Commerce trebuie să verifice atât actualizările, cât și comenzile recente: o problemă de control al accesului poate permite manipulări cu efect financiar. [Drupal a publicat alerta SA-CONTRIB-2026-254 pe 28 octombrie](https://www.drupal.org/sa-contrib-2026-254), iar pe 29 octombrie maintainerul Centarro a detaliat două raportări de tentative de fraudă pe magazine reale.

## Ce este afectat și ce versiuni remediază problema

Vulnerabilitatea **CVE-2026-118539** privește modulul **Commerce Core**, nu orice instalare Drupal. Advisory-ul indică versiunile anterioare 2.41 și ramura 3.x înainte de 3.3.13. Soluțiile publicate sunt **Commerce Core 8.x-2.41**, respectiv **3.3.13**. Lipsa unor verificări suficiente pentru anumite rute și câmpuri permite ocolirea controalelor de acces. [Advisory Drupal](https://www.drupal.org/sa-contrib-2026-254)

Există două sisteme de evaluare, care nu trebuie confundate. Drupal clasifică problema drept „Highly critical”, cu **21/25** în propria metodologie. În înregistrarea CVE, contribuția CISA ADP oferă **CVSS 3.1: 6,5, mediu**, vector `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N`. Un scor mediu nu anulează riscul operațional pentru un comerciant. [Înregistrarea oficială CVE Program](https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118539.json)

## Ce știm despre exploatare

Drupal afirmă explicit că vulnerabilitatea este exploatată. Centarro precizează însă limitele observațiilor: două raportări primite de la comercianți și, la data articolului său, lipsa unor indicii că abuzul ar fi fost automatizat sau extins dincolo de site-urile inițiale. Nu rezultă că toate magazinele vulnerabile au fost compromise. [Explicațiile maintainerului](https://www.centarro.io/blog/update-drupal-commerce-sites-exploit-observed-wild)

Înregistrarea CVE a fost publicată pe **30 octombrie**, după advisory-ul din 28 octombrie; această dată nu reprezintă descoperirea unui nou incident separat.

## Verificări defensive pentru magazine

Pe lângă instalarea patchului, echipele ar trebui să confrunte comenzile suspecte cu evidența efectivă a plăților. Centarro recomandă atenție la comenzi finalizate fără plată, stări „plătit” fără tranzacții corespunzătoare, prețuri neobișnuite și reduceri ori ajustări neautorizate. Aceste semnale cer investigație: promoțiile, comenzile gratuite și intervențiile legitime ale personalului pot produce unele situații asemănătoare.

Nu livrați produse doar pentru că un flux de checkout s-a încheiat. Confirmați plata și legitimitatea comenzii. Verificați și actualizările modulelor Commerce API, License, Shipping și Stripe folosite de magazin; Centarro le recomandă în aceeași intervenție. Dacă aplicația nu are nevoie de scrieri prin JSON:API, revenirea la modul doar-citire poate reduce expunerea, dar nu înlocuiește actualizarea. [Recomandările operaționale Centarro](https://www.centarro.io/blog/update-drupal-commerce-sites-exploit-observed-wild)

Planificați backup și testarea checkoutului după actualizare. Păstrați jurnalele și documentați comenzile investigate: patchul închide problema software, dar nu stabilește singur dacă au existat pierderi înainte de instalare.

*Imagine principală: ilustrație conceptuală generată cu AI pentru CyberJurnal; nu reproduce un magazin sau o comandă reală.*