回到上一頁

Drupal電商模組重大漏洞遭利用，網站管理員應儘速修補

2026-11-04
Drupal安全團隊於2026年10月28日發布重大安全公告，指出Commerce Core電商模組存在存取控制繞過漏洞，且已觀察到實際利用活動。該漏洞可能讓未經授權的使用者存取受限制的網站資源，並對網路商店的訂單及交易資料造成影響。
【事件經過】
本次漏洞編號為CVE-2026-118539，公告編號為SA-CONTRIB-2026-254，主要涉及Commerce Core未充分保護部分網站路徑與資料欄位的問題。
Commerce Core是Drupal常用的電商模組，提供購物車、訂單管理、結帳及API整合功能。當存取控制未正確執行時，攻擊者可能繞過原有權限限制，讀取或操作不應開放的資源。
Drupal官方確認漏洞已遭實際利用。模組維護團隊Centarro亦表示，曾收到商家通報可疑訂單活動，涉及利用此弱點嘗試建立不正常交易的情況。
官方因此要求使用相關模組的網站立即更新，並檢查既有訂單是否出現異常。
【影響範圍】
受影響產品為Drupal Commerce Core，包含8.x-2.x系列低於2.41的版本，以及3.x系列低於3.3.13的版本。
Drupal官方已發布Commerce Core 8.x-2.41及3.3.13修補版本。
CVE-2026-118539被Drupal列為Highly Critical，安全風險評分為21／25分。此評分屬於Drupal自己的安全風險分級制度，不等同於CVSS；原文未提供可直接對應的CVSS分數。
本次風險集中於安裝Commerce Core的Drupal網站，不能將所有Drupal核心系統均視為受到相同漏洞影響。
【建議措施】
網站管理員應先確認是否安裝Commerce Core模組，並檢查目前使用的版本與相依套件。
使用3.x系列者應至少更新至3.3.13；使用8.x-2.x系列者應至少更新至8.x-2.41，或選擇官方後續適用的安全修補版本。
更新前應備份網站程式、資料庫與相關設定，並於測試環境確認訂單、結帳、付款及API功能正常。
完成更新後，應檢查交易紀錄、訂單金額、折扣及異常狀態變更，確認是否存在未經授權的操作。
對已發現可疑交易的網站，應保存日誌與交易證據，進一步調查影響範圍，而非只以完成更新作為事件結案依據。
【國內機關與企業之影響與因應】
原文未提供台灣受害案例，無法判定國內是否已有相同攻擊事件。
採用Drupal Commerce Core經營線上商店、會員服務或收費平台的組織，應將此漏洞納入優先弱點管理，並針對交易資料建立異常檢查機制。
此外，應定期檢視第三方模組版本、權限設定及更新維護責任，避免網站核心程式已更新，但擴充模組仍存在安全風險。
【新聞出處】
原文標題：Drupal揭露已遭利用的Commerce Core模組重大漏洞
媒體名稱：iThome
發布日期：2026年11月3日
官方公告：Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254
發布日期：2026年10月28日