CVE-2026-118539

🚨 Hackers are actively exploiting a highly critical flaw in Drupal Commerce Core. CVE-2026-118539 allows attackers to bypass access controls, potentially causing financial losses for vendors. Drupal confirms in-the-wild exploitation but has not disclosed the attack details or scale. Read more: https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html

Attackers are actively exploiting CVE-2026-118539, a highly critical access-control flaw in Drupal Commerce Core. The vulnerability can allow unauthorized manipulation of commerce routes and order data, potentially causing direct financial losses to merchants. Update to 3.3.13 or 2.41 immediately. Audit recent orders for suspicious activity. The exploitation is confirmed. The full extent remains unclear.

Drupal Commerce vulnerability CVE-2026-118539, a highly critical access bypass, is exploited in the wild. Upgrade to 3.3.13 or 8.x-2.41 now. #Drupal #DrupalCommerce #CVE2026118539 #AccessBypass #eCommerce #WebSecurity #ActiveExploitation #PatchNow https://securityonline.info/drupal-commerce-vulnerability-cve-2026-118539-exploited/

🔴 Drupal Commerce Core'da aktif olarak istismar edilen kritik güvenlik açığı! CVE-2026-118539, Drupal Commerce Core'da yetkilendirme kontrollerinin atlatılmasına (Authorization Bypass) neden oluyor. Drupal risk seviyesi: Highly Critical (21/25) İstismar durumu: Gerçek saldırılarda istismar bildirildi CVSS: Henüz yayınlanmadı Etkisi: Yetkisiz erişim ve e-ticaret siparişlerinin etkilenmesi ✅ Etkilenen -> Yamalanan sürümler: • Commerce 2.x -> 2.41 • Commerce 3.x -> 3.3.13 Drupal Commerce Core kullanan sistemlerde sürüm kontrolü ve acil güncelleme öneriliyor. Advisory: https://www.drupal.org/sa-contrib-2026-254

--Today’s Security Feed-- Drupal says a flaw in its Commerce Core module is being exploited in the wild. CVE-2026-118539, missing authorization. Rated "highly critical". Affects 0.0.0 to 2.41 and 3.0.0 to 3.3.13. No CVSS score given. Running a Drupal shop? Check your version and patch.

🛒 Run a Drupal Commerce shop? Patch today. Drupal says a highly critical access bypass in Commerce Core, CVE-2026-118539, is being exploited in the wild. What to do: update to Commerce Core 3.3.13 (or 8.x-2.41 on older sites), then audit your orders. Source: Drupal https://t.co/rMCeZpwIx7

🚨 Drupal Commerce Core is facing an actively exploited access-control flaw. CVE-2026-118539 allows forceful browsing due to missing authorization checks. Affected: • 2.x before 2.41 • 3.x before 3.3.13 Update to a fixed release. 🔎 https://exploitgrid.net

Drupal Commerce CVE-2026-118539: some routes and entity fields lacked authorization checks. Merchants saw orders placed at $0.01. Patch to 3.3.13 or 8.x-2.41, then audit orders with no payment or an overridden price. We test checkout logic like this with real exploits. #AppSec

【10/30 夕方】CVE・脆弱性ニュースまとめ ■国内 前回（10/30 昼）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で新たに対象となるものはありませんでした。 ■海外 ① Ivanti「Ivanti Connect Secure」：悪用された攻撃の連鎖のうち、root権限への昇格の脆弱性などを追加修正（CVE-2026-111357、CVE-2026-118527、最初の入り口のCVE-2026-104935は米CISA KEV登録済み） Ivanti Connect SecureのVPN装置が10月初めから狙われていた件で、Ivantiは29日（米国時間）、攻撃の連鎖に使われた残り2件の脆弱性の修正版を出しました。攻撃は、ログイン前の認証回避（CVE-2026-104935、13日に修正済み）でコマンドを実行し、さらに内部サービスの設定の扱いの不備（CVE-2026-111357）でroot権限まで奪う流れで、Volexityは修正をすべて当てていた22.8R2.4の装置でも侵害を確認していました。CVE-2026-111357の深刻度は、報道ではIvantiの評価として8.8、http://cve.orgの記録では7.0となっており、http://cve.orgの記録は30日に「2026年10月に実際に悪用された」と更新されています。攻撃者（Volexityの呼称でUTA0576）は、装置に保存されたドメインの認証情報を抜き取り、Active DirectoryからLAPSの管理者パスワードやBitLockerの回復キーなどを探していたほか、メモリ上だけで動いて痕跡を消すため、Ivantiの整合性チェックツールでは見つからなかったとされています。修正版は25.1.1.3と22.8R2.6で、これで公表済みの脆弱性がすべて直ります。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-111357 出典：Ivanti https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935 出典：Volexity https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/ 出典：The Stack https://www.thestack.technology/ivanti-patches-two-more-cves-amid-highly-unusual-connect-secure-exploitation/ ② Drupal「Commerce Core」：ECサイト向けモジュールにアクセス制御の不備、Drupalが実際の悪用を確認（CVE-2026-118539、Drupal独自評価「Highly critical」21/25） Drupalでネットショップを作るためのモジュールCommerce Coreで、一部のURLやデータ項目の保護が足りず、本来できないはずの操作ができてしまう脆弱性です。Drupalは28日の勧告で、店舗側に金銭的な被害が出るおそれがあり、すでに実際に悪用されていると明記しましたが、攻撃の中身や規模は公表していません。影響するのは2.41より前と3.0.0〜3.3.12で、修正版は8.x-2.41と3.3.13です。http://cve.orgには30日に登録されましたが、CVSSの値はまだ付いておらず、米CISAのKEVにも入っていません。Drupalは更新に加えて、注文データにおかしな点がないかの確認を求めています。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118539 出典：http://Drupal.org https://www.drupal.org/sa-contrib-2026-254 出典：The Hacker News https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html ■注意点 ・Ivanti Connect Secure（①）は、13日の修正だけでは足りません。25.1.1.3か22.8R2.6まで上げたうえで、整合性チェックが問題なしでも安心せず、VPN装置から社内への不審な通信や、Active Directoryのサービスアカウントの使われ方を確認してください。 ・Drupal Commerce（②）はDrupal本体とは別のモジュールなので、本体を更新しただけでは直りません。モジュールを更新し、金額や割引、支払い状況が合わない注文がないか確かめてください。 ・前回（10/30 昼）以降、米CISAのKEVへの新規追加はありません（30日夕方時点）。 #脆弱性 #CVE #サイバーセキュリティ

🚨 Drupal Commerce shops, patch now. A "highly critical" Commerce Core access bypass (CVE-2026-118539) is being exploited to place fraudulent orders. Fixed in 3.3.13 and 8.x-2.41. Then audit recent orders for skipped payments or odd prices. Source: Drupal advisory https://t.co/SqteIWzr9d

A visitor with no login can reach a Drupal store's orders and prices and rewrite them. Drupal calls CVE-2026-118539 in Commerce Core highly critical and exploited. Patch to 3.3.13 or 8.x-2.41, then audit orders — no IOCs published. https://zerohunt.ai/blog/drupal-commerce-cve-2026-118539-access-bypass/

Urgent alert: Drupal Commerce Core has a critical authorization bypass flaw (CVE-2026-118539) that’s already under active attack. Versions 0.0.0–2.41 and 3.0.0–3.3.13 are affected. Update now to 2.41 or 3.3.13 to close weak routes and safeguard your APIs and checkout workflows. #SecurityNews #Drupal #Vulnerability #Drupal #Security #Vulnerability #CommerceCore #CyberThreat #WebSecurity https://thedailytechfeed.com/critical-drupal-commerce-flaw-under-active-attack-patch-now/

Drupal Commerceのアクセス回避脆弱性が実際に悪用 #SecurityOnline (Oct 29) https://securityonline.info/drupal-commerce-vulnerability-cve-2026-118539-exploited/