الأمن التقني

استغلال ثغرة حرجة في Drupal Commerce يستهدف المتاجر الإلكترونية

تؤكد Drupal أن ثغرة تجاوب وصول حرجة في وحدة التجارة الإلكترونية قيد الاستغلال النشط، مما يستدعي تدقيقاً فورياً للطلبات.

نُشر: 30 أكتوبر 2026 · آخر تحديث: 30 أكتوبر 2026 · 3 دقائق قراءة

استغلال ثغرة حرجة في Drupal Commerce يستهدف المتاجر الإلكترونية — الصورة: SecurityWeek

تحذير عاجل من استغلال نشط

أصدرت منصة Drupal تحذيراً أمنياً عاجلاً يوصي فيه أصحاب المتاجر الإلكترونية بتحديث وحدة Commerce Core بشكل فوري، مشيرة إلى أن ثغرة حرجة في تجاوب الوصول قيد الاستغلال النشط في الوقت الحالي. وتُصنف هذه الثغرة برقم CVE-2026-118539، وهي تؤثر على وحدة مساهمة تضيف ميزات التجارة الإلكترونية مثل سلة التسوق وعملية الدفع إلى مواقع دروبال.

تفاصيل الثغرة ومخاطرها المالية

وفقاً للتقرير الأمني، فإن الوحدة المعنيّة لا توفر حماية كافية لمسارات معينة وحقول الكيانات، مما يؤدي إلى تجاوز في الوصول قد يترتب عليه أضرار مالية مباشرة على مالكي المتاجر. وقد منح فريق أمان Drupal هذه الثغرة درجة مخاطر عالية تبلغ 21 من أصل 25، مما يعني أن المهاجمين غير الموثقين يمكنهم استغلال هذا العيب بغض النظر عن طريقة تكوين الوحدة أو إعداداتها الأمنية.

نطاق التأثير والإصدارات المتأثرة

تشير إحصائيات Drupal إلى أن هذه الوحدة تُستخدم في أكثر من 42,000 موقع حول العالم، مما يوسع نطاق التهديد بشكل كبير. وتتأثر بالإصدارات 3.x قبل الإصدار 3.3.13، بالإضافة إلى الإصدارات الأقدم قبل 8.x-2.41. وينصح المسؤولون بتحديث الأنظمة إلى أحد الإصدارين المصححين فوراً، مع إجراء مراجعة دقيقة لطلبات المتجر للتأكد من عدم وجود أي استغلال سابق.

توصيات التدقيق الأمني الفوري

تؤكد Drupal على ضرورة قيام المواقع بتدقيق طلباتها بحثاً عن أي تناقضات، نظراً لأن الثغرة قيد الاستغلال النشط. ومع ذلك، لم تكشف المنصة عن كيفية استغلال الثغرة تحديداً، أو هوية الجهة المسؤولة عن الهجمات، أو عدد المواقع التي تم استهدافها حتى الآن. كما لم يتضح ما إذا كانت الثغرة قد استُغلت كـ zero-day قبل توفر التصحيحات، مما يزيد من أهمية المراقبة المستمرة.

موجة ثغرات أخرى في أكتوبر

إلى جانب هذه الثغرة، نشرت Drupal 38 تنبيهاً أمنياً آخر في 28 أكتوبر، تعالج ثغرات في 21 مشروعاً مساهماً. وتُصنف نحو اثنتي عشرة منها كحرجة، وتشمل أخطاء قد تؤدي إلى تنفيذ أكواد عن بُعد، أو اختطاف حسابات، أو حتى تعليم طلبات Commerce المدفوعة عبر Stripe كمسدد دون دفع فعلي. كما تم إصلاح ثغرة في وحدة CAPTCHA تتيح إعادة إرسال نماذج محمية دون حل تحدي جديد.

سياق أمني متصاعد

يأتي هذا التحذير في ظل سلسلة من الثغرات الحرجة التي طالت Drupal مؤخراً. ففي 14 أكتوبر، أعلنت المنصة عن إصلاح ثغرتين حرجتين لتنفيذ أكواد عن بُعد. وعلى الرغم من التحذيرات المبكرة من احتمال ظهور أدوات استغلال خلال ساعات، لم تُسجل تقارير عامة عن استغلال تلك الثغرات السابقة في الوقت الحالي، مما يجعل ثغرة Commerce Core الحالية مصدر قلق رئيسي للمجتمع التقني.