Drupal paralajmëroi se sulmuesit po shfrytëzojnë aktivisht një dobësi «shumë kritike» në Commerce Core. E identifikuar si CVE-2026-118539, ajo lidhet me mungesën e autorizimit dhe prek versionet nga 0.0.0 deri në 2.41 dhe nga 3.0.0 deri në 3.3.13. Nuk është dhënë një vlerësim CVSS.
Moduli mundëson shitjen e mallrave dhe shërbimeve përmes shportës dhe formularit të pagesës ose aplikacioneve të veçuara përmes API-ve. Mbrojtja e pamjaftueshme e disa rrugëve dhe fushave të entiteteve lejon anashkalimin e kontrollit të aksesit, me pasoja të mundshme financiare për shitësin. Drupal rekomandon përditësimin në versionin më të fundit, por nuk dha hollësi mbi sulmet apo shtrirjen e tyre.
Ndërkohë, po regjistrohen përpjekje aktive shfrytëzimi edhe për dy dobësi kritike në PHP, CVE-2026-109618 dhe CVE-2026-109619, të njohura së bashku si PHP2Shell, secila me vlerësim CVSS 9.2. Sipas Wiz, në pronësi të Google, më 25 tetor përqindja e organizatave të prekura ndjeshëm kishte rënë në 52.1%.
Wiz vërejti tentativa që përputhen me demonstrimet publike PoC, si dhe mjete me emrin PHP2Shell që përdorin helmimin e sesioneve dhe një dobësi tjetër LFI në aplikacion. Sipas studiuesve, vetëm shterimi i memories nuk mjafton për të përfunduar zinxhirin e shfrytëzimit: konfigurimet e PHP-së, kufijtë e memories dhe sjellja e proceseve mund të pengojnë fazat pasuese.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
