ಬೆದರಿಕೆ ನಟರು ಅದರ ಕಾಮರ್ಸ್ ಕೋರ್ ಘಟಕದಲ್ಲಿ “ಅತ್ಯಂತ ನಿರ್ಣಾಯಕ” ಭದ್ರತಾ ನ್ಯೂನತೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತಿದ್ದಾರೆ ಎಂದು ದ್ರುಪಾಲ್ ಎಚ್ಚರಿಸಿದೆ.
ದುರ್ಬಲತೆ, ಎಂದು ಟ್ರ್ಯಾಕ್ ಮಾಡಲಾಗಿದೆ CVE-2026-118539 (CVSS ಸ್ಕೋರ್: N/A), 0.0.0 ರಿಂದ 2.41 ಮತ್ತು 3.0.0 ರಿಂದ 3.3.13 ವರೆಗಿನ ಕಾಮರ್ಸ್ ಕೋರ್ ಆವೃತ್ತಿಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವ ಅಧಿಕಾರ ತಪ್ಪಿದ ಪ್ರಕರಣವಾಗಿದೆ.
“ಈ ಮಾಡ್ಯೂಲ್ ಒಳಗೊಂಡಿರುವ ಶಾಪಿಂಗ್ ಕಾರ್ಟ್ ಮತ್ತು ಚೆಕ್‌ಔಟ್ ಫಾರ್ಮ್ ಮೂಲಕ ಅಥವಾ API ಗಳ ಮೂಲಕ ಡಿಕೌಪ್ ಮಾಡಿದ ಅಪ್ಲಿಕೇಶನ್‌ಗಳ ಮೂಲಕ ಗ್ರಾಹಕರಿಗೆ ಸರಕು ಮತ್ತು ಸೇವೆಗಳನ್ನು ಮಾರಾಟ ಮಾಡಲು ನಿಮಗೆ ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ” ಎಂದು ದ್ರುಪಾಲ್ ಸಲಹೆಗಾರರಲ್ಲಿ ತಿಳಿಸಿದ್ದಾರೆ.
“ಮಾಡ್ಯೂಲ್ ಕೆಲವು ಮಾರ್ಗಗಳು ಮತ್ತು ಘಟಕ ಕ್ಷೇತ್ರಗಳನ್ನು ಸಾಕಷ್ಟು ರಕ್ಷಿಸುವುದಿಲ್ಲ, ಇದು ಪ್ರವೇಶ ಬೈಪಾಸ್‌ಗೆ ಕಾರಣವಾಗುತ್ತದೆ ಅದು ಮಾರಾಟಗಾರರ ಮೇಲೆ ಆರ್ಥಿಕವಾಗಿ ಪರಿಣಾಮ ಬೀರಬಹುದು.”
ಮುಕ್ತ-ಮೂಲ ವಿಷಯ-ನಿರ್ವಹಣೆಯ ಚೌಕಟ್ಟು ದುರ್ಬಲತೆಯನ್ನು “ಕಾಡಿನಲ್ಲಿ ಸಕ್ರಿಯವಾಗಿ ಬಳಸಿಕೊಳ್ಳಲಾಗುತ್ತಿದೆ” ಎಂದು ಒಪ್ಪಿಕೊಂಡಿದೆ, ಆದರೆ ಚಟುವಟಿಕೆಯ ಸ್ವರೂಪ ಅಥವಾ ಅಭಿಯಾನದ ವ್ಯಾಪ್ತಿಯ ಬಗ್ಗೆ ಯಾವುದೇ ನಿರ್ದಿಷ್ಟತೆಯನ್ನು ಒದಗಿಸಿಲ್ಲ.
ಇತ್ತೀಚಿನ ಆವೃತ್ತಿಗೆ ನವೀಕರಿಸಲು ಬಳಕೆದಾರರಿಗೆ ಶಿಫಾರಸು ಮಾಡಲಾಗುತ್ತಿದೆ –
- ಆವೃತ್ತಿ 3.x – ಕಾಮರ್ಸ್ ಕೋರ್ 3.3.13 ಗೆ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಿ
- ಹಿಂದಿನ ಆವೃತ್ತಿಗಳು – ಕಾಮರ್ಸ್ ಕೋರ್ 8.x-2.41 ಗೆ ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡಿ
ದ್ರುಪಾಲ್ ಸಂಶೋಧಕರಾದ ಡಾನ್ ಪುಸೆಟ್ಟಿ (dpuccetti), ಮಾರ್ಕಸ್ ಜೋಹಾನ್ಸನ್ (marcus_johansson), ಮತ್ತು ರಾಬರ್ಟ್ ಸ್ನೈಡರ್ (rsnyd) ನ್ಯೂನತೆಯನ್ನು ವರದಿ ಮಾಡಿದ್ದಾರೆ.
ಅಭಿವೃದ್ಧಿಯು PHP ಯಲ್ಲಿನ ಎರಡು ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆಗಳಾಗಿ ಬರುತ್ತದೆ, CVE-2026-109618 ಮತ್ತು CVE-2026-109619 (CVSS ಸ್ಕೋರ್‌ಗಳು: 9.2), ಮತ್ತು ಒಟ್ಟಾರೆಯಾಗಿ PHP2Shell ಎಂದು ಕರೆಯಲಾಗುತ್ತದೆ, ಇದು ಕಾಡಿನಲ್ಲಿ ಸಕ್ರಿಯ ಶೋಷಣೆಯ ಪ್ರಯತ್ನಗಳಿಗೆ ಸಾಕ್ಷಿಯಾಗಿದೆ.
ಅಕ್ಟೋಬರ್ 25 ರ ಹೊತ್ತಿಗೆ, Google-ಮಾಲೀಕತ್ವದ Wiz ನ ಮಾಹಿತಿಯ ಪ್ರಕಾರ, PHP2Shell ನಿಂದ ಗಮನಾರ್ಹವಾಗಿ ಪ್ರಭಾವಿತವಾಗಿರುವ ಸಂಸ್ಥೆಗಳ ಶೇಕಡಾವಾರು ಪ್ರಮಾಣವು 52.1% ಕ್ಕೆ ಇಳಿದಿದೆ.
ಕ್ಲೌಡ್ ಸೆಕ್ಯುರಿಟಿ ಕಂಪನಿಯು ಇದುವರೆಗೆ ಎರಡು ರೀತಿಯ ಚಟುವಟಿಕೆಗಳನ್ನು ಗಮನಿಸಿದೆ ಎಂದು ಹೇಳಿದೆ, ಸಾರ್ವಜನಿಕ ಪ್ರೂಫ್-ಆಫ್-ಕಾನ್ಸೆಪ್ಟ್ (PoC) ಶೋಷಣೆಗಳಿಗೆ ಹೊಂದಿಕೆಯಾಗುವ PHP2Shell ಶೋಷಣೆ ಕಾರ್ಯವಿಧಾನವನ್ನು ಬಳಸುವ ಪ್ರಯತ್ನಗಳು ಸೇರಿದಂತೆ.
ಇತರ ವರ್ಗವು “ಪಿಎಚ್‌ಪಿ 2 ಶೆಲ್-ಬ್ರಾಂಡೆಡ್ ಪರಿಕರಗಳನ್ನು ಉಲ್ಲೇಖಿಸುತ್ತದೆ, ಬದಲಿಗೆ ಸೆಷನ್ ವಿಷ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್‌ನಲ್ಲಿ ಪ್ರತ್ಯೇಕ ಸ್ಥಳೀಯ ಫೈಲ್ ಸೇರ್ಪಡೆ (ಎಲ್‌ಎಫ್‌ಐ) ದುರ್ಬಲತೆಯನ್ನು ಅವಲಂಬಿಸಿರುವ ದುರ್ಬಲತೆಗಳಿಗೆ ಸಂಬಂಧಿಸಿಲ್ಲ” ಎಂದು ವಿಜ್ ಸಂಶೋಧಕರಾದ ಯಾರಾ ಶ್ರೀಕಿ, ಶಹರ್ ಡಾರ್ಫ್‌ಮನ್, ಅಲ್ಮಾ ಬ್ಲಾಚ್ಸನ್ ಮತ್ತು ಯಾರೋನ್ ಸ್ಯಾಮ್ಯುಯೆಲ್ ಹೇಳಿದರು.
“ನಮ್ಮ ಅವಲೋಕನಗಳು ಶೋಷಣೆ ಸರಪಳಿಯನ್ನು ಪೂರ್ಣಗೊಳಿಸಲು ಮೆಮೊರಿ ಬಳಲಿಕೆಯನ್ನು ಪ್ರಚೋದಿಸುವುದು ಸಾಕಾಗುವುದಿಲ್ಲ ಎಂದು ತೋರಿಸುತ್ತದೆ. PHP ಬಿಲ್ಡ್‌ಗಳು, ಮೆಮೊರಿ ಮಿತಿಗಳು ಮತ್ತು ಕೆಲಸಗಾರರ ನಡವಳಿಕೆಗಳಲ್ಲಿನ ವ್ಯತ್ಯಾಸಗಳು ನಂತರದ ಹಂತಗಳನ್ನು ಕೆಲಸ ಮಾಡುವುದನ್ನು ತಡೆಯಬಹುದು. ಅವಕಾಶವಾದಿ ದಾಳಿಕೋರರಿಗೆ ಪ್ರಸ್ತುತ ಲಭ್ಯವಿರುವ ಸಾರ್ವಜನಿಕ PoC ಗಳನ್ನು ಅದೇ ರೀತಿಯ ವಿಶ್ವಾಸಾರ್ಹ ಕಾರ್ಯಾಚರಣೆಯ ಸಾಧನವಾಗಿ ಪರಿವರ್ತಿಸುವುದು ಅಥವಾ ಅದನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವುದು.”
