# تجاوز صلاحية Drupal Commerce Core يُستغل بنشاط، يُطالب بتحديث فوري لأكثر من 42,000 متجر

- الصفحة الأصلية: https://bestwebhosting.website/ar/drupal-commerce-core-exploit/
- اللغة: ar
- النسخة الإنجليزية: [Drupal Commerce Core Access Bypass Actively Exploited, Urges Immediate Patch for 42,000+ Stores](https://bestwebhosting.website/drupal-commerce-core-exploit.md)
- النشر: 2026-10-30T14:00:42+00:00 — آخر تعديل: 2026-10-30T14:00:45+00:00
- الكاتب: فريق تحرير BWH — Best Web Hosting
- القسم: [الأمن السيبراني](https://bestwebhosting.website/ar/category/cybersecurity.md)

> تحذر Drupal من أن تجاوز صلاحية حاسم في وحدة Commerce Core يُستغل في البرية، مما يؤثر على أكثر من 42,000 موقع تجارة إلكترونية.

أعلنت Drupal في 30 أكتوبر 2026 أن تجاوز صلاحية حاسم في وحدة Commerce Core (CVE-2026-118539) يُستغل حاليًا من قبل مهاجمين غير مصرح لهم. تؤثر الثغرة على الإصدارات 0.0.0-2.41 و3.0.0-3.3.13، وتحث مشروع Drupal المسؤولين عن أكثر من 42,000 موقع يعتمد على الوحدة على الترقية فورًا وتدقيق بيانات الطلبات للعثور على شذوذ.

- يمكن للمهاجمين غير المصرح لهم تجاوز ضوابط الوصول والتلاعب بمسارات التجارة وحقول الكيان.
- تقييم Drupal للثغرة كـ "حاسم للغاية" مع درجة خطر 21 من 25.
- الترقيات الفورية إلى Commerce Core 3.3.13 (أو 8.x-2.41 للفرع الأقدم) مطلوبة، تليها مراجعات سلامة الطلبات.

## ما الذي تفعله الثغرة

يصف التوجيه المشكلة بأنها نقص في فحص الصلاحية يتيح للمهاجمين الوصول إلى المسارات المحمية وحقول الكيان دون بيانات اعتماد صالحة. بما أن الوحدة تدير عربات التسوق، نماذج الخروج، وعمليات البيع المدفوعة بـ API، يمكن أن يتيح الاستغلال للجهات المهددة عرض أو تعديل أو إنشاء طلبات، ما قد يسبب خسارة مالية للتجار.

## نطاق التثبيتات المتأثرة

تظهر إحصائيات Drupal نفسها أن وحدة Commerce Core تدعم أكثر من 42,000 موقع، بدءًا من المتاجر الصغيرة إلى شركات Fortune 500 الكبرى وجامعات البحث. تمتد الثغرة إلى جميع إصدارات 3.x قبل 3.3.13 والإصدارات 8.x-2.x قبل 8.x-2.41. عين فريق أمان Drupal درجة خطر مشابهة لـ CVSS بـ 21/25، مما يشير إلى أن الثغرة يمكن استغلالها بغض النظر عن التكوين.

## دليل على الاستغلال النشط

كلا من SecurityWeek وBleepingComputer يُبلغان أن الهجمات جارية بالفعل، على الرغم من عدم تقديم أي مصدر تفاصيل عن هوية المهاجمين أو عدد المواقع المتأثرة. ينصح التوجيه صراحةً مالكي المواقع بـ "تدقيق طلباتهم للعثور على شذوذ"، ما يعني أن التلاعب بالطلبات قد لوحظ بالفعل في البرية.

## رد فعل مجتمع Drupal

أصدرت Drupal إصدارات مصححة في 28 أكتوبر 2026: Commerce Core 3.3.13 للفرع 3.x و8.x-2.41 للإصدارات الأقدم. كما شكر المشروع ثلاثة باحثين مستقلين—Dan Puccetti، Marcus Johansson، وRobert Snyder—لإبلاغه بالثغرة. بالإضافة إلى تصحيح Commerce Core، نشرت Drupal 38 توجيهًا آخر في نفس اليوم، يتناول العديد منها أخطاء تنفيذ كود عن بُعد حاسمة وتسريبات معلومات.

## الآثار على مالكي المواقع والمطورين

بالنسبة لمشغلي التجارة الإلكترونية، الأولوية الفورية هي تطبيق تحديثات الأمان والتحقق من عدم وجود طلبات غير مصرح بها أو تعديلها. يجب على المطورين أيضًا مراجعة الكود المخصص الذي يتفاعل مع مسارات Commerce Core، مع التأكد من وجود فحوصات وصول إضافية. بما أن الثغرة يمكن استغلالها دون مصادقة، قد لا تكشف الدفاعات التقليدية للحدود عن النشاط حتى تظهر شذوذات الطلب.

## السياق التنظيمي وأمن أوسع

أضافت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) الثغرة إلى كتالوج Vulnerabilities Known Exploited (KEV)، مطالبة الوكالات الفدرالية بتصحيحها خلال ثلاثة أيام. يعكس هذا إجراءات CISA السابقة على خطأ حقن May-2026 SQL في Drupal (CVE-2026-9082) ويؤكد تركيز الوكالة المتزايد على مخاطر CMS مفتوحة المصدر. ينضم استغلال Commerce Core إلى موجة حديثة من الثغرات عالية المستوى، بما في ذلك خطأين حاسمين في تنفيذ كود عن بُعد (CVE-2026-109618 وCVE-2026-109619) يُلاحظ استغلالهما بنشاط أيضًا.

## ما التالي

توصي Drupal المسؤولين بمراقبة سجلات الطلبات للبحث عن تغييرات غير متوقعة في الحالة، مثل دفعات تُعلَّن مكتملة دون معاملات مقابلة. يجب على فرق الأمان أيضًا تمكين جدران حماية تطبيقات الويب (WAFs) التي يمكنها حظر الطلبات الشاذة إلى نقاط نهاية Commerce Core. أخيرًا، يُشجع المنظمات على اعتماد جدول منتظم لإدارة التصحيحات، كما أظهر دورة التوجيهات في أكتوبر 2026 أن العديد من القضايا الحاسمة يمكن أن تظهر في وقت واحد.

## المصادر

- [SecurityWeek](https://www.securityweek.com/drupal-commerce-core-vulnerability-exploited-against-online-stores/): Drupal Commerce Core Vulnerability Exploited Against Online Stores
- [BleepingComputer](https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/): Drupal warns of critical Commerce Core flaw exploited in attacks
- [The Hacker News](https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html): Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw

الوسوم: CISA, commerce-core, cve-2026-118539, drupal, web-security