أصدرت Drupal تحذيراً بشأن ثغرة أمنية 'شديدة الخطورة' في مكون Commerce Core، والتي يتم استغلالها حالياً من قبل جهات التهديد. الثغرة، التي تم تحديدها كـ CVE-2026-118539، تؤثر على إصدارات Commerce Core من 0.0.0 إلى 2.41 ومن 3.0.0 إلى 3.3.13.

تتعلق الثغرة بغياب التفويض، مما يسمح للمهاجمين غير المصدقين بإجراء تغييرات غير مصرح بها على بيانات المتجر والمعاملات. قد يكون لهذا تأثير مالي كبير على البائعين الذين يستخدمون الإصدارات المتأثرة.

أكدت Drupal أن الثغرة يتم استغلالها فعلياً في البرية. لم تكشف المنظمة عن تفاصيل محددة حول الهجمات أو مدى الاستغلال.

لتقليل المخاطر، توصي Drupal المستخدمين بالترقية إلى Commerce Core 3.3.13 أو Commerce Core 8.x-2.41. يتم استخدام وحدة Commerce Core من قبل أكثر من 42,000 موقع، بما في ذلك العديد من المنظمات البارزة.

تم الإبلاغ عن الثغرة من قبل الباحثين Dan Puccetti وMarcus Johansson وRobert Snyder. وقد منحت Drupal الثغرة درجة خطورة 21 من 25، مما يبرز خطورتها الحرجة.