跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#漏洞#CVE-2026-118539#Drupal#Drupal Commerce#电子商务#访问绕过#暴露的服务

Drupal Commerce Core CVE-2026-118539：无需身份验证的访问绕过漏洞，已被利用（请更新到 8.x-2.41 或 3.3.13）

Drupal 的 SA-CONTRIB-2026-254（10月28日）将 Commerce Core 的访问绕过漏洞评为“Highly critical”，并称已在实际攻击中被利用。本文介绍受影响版本、修复版本 8.x-2.41 和 3.3.13、NVD 为何评为 6.5 分，以及如何审计订单。

发布于 2026-10-31 更新于 2026-10-31 最后核实 2026-10-31 2 分钟阅读
本页目录

适用对象：使用 Drupal Commerce 搭建网上商店的店主和开发人员。本文基于 Drupal 的安全公告和 NVD，不包含攻击步骤或利用代码。

持续更新中：随着更多信息发布，本页面将会更新

截至2026年10月31日（日本时间）

尚不清楚

  • 攻击者究竟如何利用该绕过漏洞，以及有多少商店受影响（Drupal 未提供细节）
  • NVD 自身的分析（状态：Awaiting Analysis，10月30日）
  • CISA 是否会将其加入 KEV 目录

Drupal 于10月28日发布了 SA-CONTRIB-2026-254 及修复版本，并表示该漏洞正被积极利用。我们于10月31日核查了该公告、NVD 和 CISA 的 KEV 数据源。

今天要做的事

1

查找您的 Commerce Core 版本

在 Composer 锁定文件或 Drupal 的扩展页面中查看 Commerce Core（机器名 commerce）的版本。受影响版本：低于 8.x-2.41，以及 3.0.0 至低于 3.3.13。

2

更新

按照 Drupal 公告所述，使用 3.x 的请升级到 3.3.13，使用 2.x 版本线的请升级到 8.x-2.41。如有条件请先在预发布环境测试，但不要让生产环境长时间停留在受影响的版本上进行测试。

3

审计订单和付款

Drupal 表示，各站点应审计订单中的不一致之处。本站的建议：将已付款或已完成的订单与支付服务商的记录进行核对，并查找异常的价格、总额、订单状态或客户字段。利用行为可能早于10月28日的公告，因此仅从10月28日开始审查可能不够；请尽可能向前追溯到日志所能涵盖的时间。

4

保留日志，然后检查其他迹象

保留更新之前的 Web 服务器和应用程序日志。如果发现无法解释的情况，请联系您的开发人员和支付服务商，并考虑适用于您的数据保护和支付卡规则下的报告义务（本站判断）。

已披露的内容

Commerce Core 访问绕过（CVE-2026-118539，SA-CONTRIB-2026-254）
产品
Commerce Core（机器名 commerce），一个通过购物车、结账和 API 进行销售的 Drupal 模块
类型
访问绕过。该模块对某些路由和实体字段的保护不足（Drupal）。NVD：缺少授权（CWE-862），强制浏览
严重程度
Drupal：Highly critical，21/25；无访问复杂度、无需身份验证、有一定机密性和完整性影响、已有实际利用、所有配置均可被利用。NVD 记录：CVSS v3.1 6.5（由 CISA-ADP 添加）
受影响版本
低于 8.x-2.41；3.0.0 至低于 3.3.13
修复版本
8.x-2.41 和 3.3.13
利用情况
Drupal：“正在实际攻击中被积极利用”。未说明是谁、规模多大
发布
2026年10月28日（Drupal）。NVD 记录创建于10月30日

两个评级为何不同：Drupal 的评分采用其自身的 25 分制，会计入已有可用的利用方式以及所有配置均可被利用这两点。NVD 的 6.5 来自针对技术影响的 CVSS 公式，不对利用情况建模。两者都没有错，但前者更能说明紧急程度。NVD 的记录还显示，CISA-ADP（协调方）在10月30日将利用情况列为“none”；Drupal 作为维护方表示该漏洞正在被利用，因此我们以 Drupal 的说法为准。

1. 检查版本

低于 8.x-2.41 或 3.3.13 即受影响

2. 更新

8.x-2.41 或 3.3.13

3. 审计订单

与支付服务商的记录核对

今天的工作顺序，依据 Drupal 的公告和本站的建议。

时间线

  1. 10月28日

    Drupal 安全团队发布 SA-CONTRIB-2026-254 及修复版本，并表示该漏洞正被积极利用。

  2. 10月30日

    NVD 为 CVE-2026-118539 创建记录（Awaiting Analysis；CISA-ADP 提供的 CVSS 为 6.5）。

已知与未知的信息

项目状态
利用情况Drupal 已声明；无细节
受影响版本和修复版本Drupal 已公布（见上文）
NVDAwaiting Analysis；CISA-ADP 提供的 CVSS 为 6.5
CISA KEV截至10月31日未列入
攻击规模以及订单被如何处理未披露

信息来源

核查日期：2026年10月31日（日本时间）。

  • Drupal.org，"Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254"（2026年10月28日）— drupal.org
  • NVD，CVE-2026-118539 — nvd.nist.gov
  • CISA，Known Exploited Vulnerabilities Catalog（10月31日核查；未列入）— cisa.gov

更新记录

2026-10-31：首版，基于 Drupal 的公告和 NVD。

延伸阅读

最新快讯

FAQ

Q发生了什么？
A

2026年10月28日，Drupal 安全团队发布了 SA-CONTRIB-2026-254：Commerce Core 模块（CVE-2026-118539）对某些路由和实体字段的保护不足，导致访问绕过。Drupal 将其评为 Highly critical，并表示该漏洞正在实际攻击中被积极利用。

Q哪些版本受影响，哪些版本已修复？
A

据 Drupal 称，低于 8.x-2.41 的版本，以及 3.0.0 至低于 3.3.13 的版本受影响。修复版本为 8.x-2.41（2.x 版本线）和 3.3.13（3.x 版本线）。

Q为什么 Drupal 评为 Highly critical，而 NVD 只有 6.5 分？
A

两者使用的评分体系不同。Drupal 的 21/25 综合了无需身份验证、已有实际利用等因素。NVD 的记录中带有 CVSS v3.1 评分 6.5（机密性和完整性影响较低，无需身份验证），由 CISA 的 ADP 添加到 NVD 记录中，NVD 自身的分析尚未完成。CVSS 评分不包含该漏洞正被利用这一事实。请将其视为紧急事项。

Q攻击者可以做什么？
A

Drupal 只表示，该绕过可能对供应商（店主）造成经济影响，并未描述具体行为，本站也不作推测。Drupal 建议各站点审计订单中的不一致之处。

Q如何审计我的订单？
A

Drupal 的建议是审计订单中的不一致之处。作为起点（本站建议）：将标记为已付款或已完成的订单与支付服务商的记录进行比对，并在尽可能长的时间范围内，查找金额、价格、状态或客户信息异常的订单。请对照您上次更新的日期检查日期。

Q它是否在 CISA 的 KEV 目录中？
A

截至2026年10月31日尚未列入。NVD 的记录还显示，CISA-ADP（协调方）在10月30日将利用情况列为“none”，这早于或有别于 Drupal 的说法。此处以 Drupal 的公告为主要依据。