跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#漏洞#CVE-2026-118539#Drupal#Drupal Commerce#電子商務#存取繞過#暴露的服務

Drupal Commerce Core CVE-2026-118539：無需身分驗證的存取繞過漏洞，已遭利用（請更新至 8.x-2.41 或 3.3.13）

Drupal 的 SA-CONTRIB-2026-254（10月28日）將 Commerce Core 的存取繞過漏洞評為「Highly critical」，並稱已在實際攻擊中遭利用。本文說明受影響版本、修補版本 8.x-2.41 與 3.3.13、NVD 為何評為 6.5 分，以及如何稽核訂單。

發布於 2026-10-31 更新於 2026-10-31 最後核實 2026-10-31 閱讀時間 2 分鐘
本頁內容

適用對象：使用 Drupal Commerce 建置線上商店的店主與開發人員。本文根據 Drupal 的安全公告與 NVD 撰寫，不包含攻擊步驟或利用程式碼。

進行中：隨著更多資訊公布，本頁將持續更新

截至2026年10月31日（日本時間）

尚不清楚

  • 攻擊者究竟如何利用該繞過漏洞，以及有多少商店受影響（Drupal 未提供細節）
  • NVD 自身的分析（狀態：Awaiting Analysis，10月30日）
  • CISA 是否會將其加入 KEV 目錄

Drupal 於10月28日發布了 SA-CONTRIB-2026-254 及修補版本，並表示該漏洞正被積極利用。我們於10月31日查核了該公告、NVD 與 CISA 的 KEV 資料來源。

今天要做的事

1

找出您的 Commerce Core 版本

在 Composer 鎖定檔或 Drupal 的擴充功能頁面查看 Commerce Core（機器名稱 commerce）的版本。受影響版本：低於 8.x-2.41，以及 3.0.0 至低於 3.3.13。

2

更新

依照 Drupal 公告所述，使用 3.x 的請升級至 3.3.13，使用 2.x 版本線的請升級至 8.x-2.41。若有條件請先在預備環境測試，但不要讓正式環境長時間停留在受影響的版本上進行測試。

3

稽核訂單與付款

Drupal 表示，各網站應稽核訂單中的不一致之處。本站的建議：將已付款或已完成的訂單與支付服務商的紀錄核對，並尋找異常的價格、總額、訂單狀態或客戶欄位。利用行為可能早於10月28日的公告，因此僅從10月28日開始檢視可能不夠；請盡可能向前追溯至日誌所能涵蓋的時間。

4

保留日誌，然後檢查其他跡象

保留更新之前的網頁伺服器與應用程式日誌。如果發現無法解釋的情況，請聯絡您的開發人員與支付服務商，並考慮適用於您的資料保護與支付卡規定下的通報義務（本站判斷）。

已揭露的內容

Commerce Core 存取繞過（CVE-2026-118539，SA-CONTRIB-2026-254）
產品
Commerce Core（機器名稱 commerce），一個透過購物車、結帳與 API 進行銷售的 Drupal 模組
類型
存取繞過。該模組對某些路由與實體欄位的保護不足（Drupal）。NVD：缺少授權（CWE-862），強制瀏覽
嚴重程度
Drupal：Highly critical，21/25；無存取複雜度、無需身分驗證、有一定機密性與完整性影響、已有實際利用、所有設定皆可被利用。NVD 紀錄：CVSS v3.1 6.5（由 CISA-ADP 加入）
受影響版本
低於 8.x-2.41；3.0.0 至低於 3.3.13
修補版本
8.x-2.41 與 3.3.13
利用情況
Drupal：「正在實際攻擊中被積極利用」。未說明是誰、規模多大
發布
2026年10月28日（Drupal）。NVD 紀錄建立於10月30日

兩個評級為何不同：Drupal 的評分採用其自身的 25 分制，會計入已有可用的利用方式以及所有設定皆可被利用這兩點。NVD 的 6.5 來自針對技術影響的 CVSS 公式，不對利用情況建模。兩者都沒有錯，但前者更能說明緊急程度。NVD 的紀錄還顯示，CISA-ADP（協調方）在10月30日將利用情況列為「none」；Drupal 作為維護方表示該漏洞正在被利用，因此我們以 Drupal 的說法為準。

1. 檢查版本

低於 8.x-2.41 或 3.3.13 即受影響

2. 更新

8.x-2.41 或 3.3.13

3. 稽核訂單

與支付服務商的紀錄核對

今天的工作順序，依據 Drupal 的公告與本站的建議。

時間軸

  1. 10月28日

    Drupal 安全團隊發布 SA-CONTRIB-2026-254 及修補版本，並表示該漏洞正被積極利用。

  2. 10月30日

    NVD 為 CVE-2026-118539 建立紀錄（Awaiting Analysis；CISA-ADP 提供的 CVSS 為 6.5）。

已知與未知的資訊

項目狀態
利用情況Drupal 已聲明；無細節
受影響版本與修補版本Drupal 已公布（見上文）
NVDAwaiting Analysis；CISA-ADP 提供的 CVSS 為 6.5
CISA KEV截至10月31日未列入
攻擊規模以及訂單被如何處理未揭露

資料來源

查核日期：2026年10月31日（日本時間）。

  • Drupal.org，"Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254"（2026年10月28日）— drupal.org
  • NVD，CVE-2026-118539 — nvd.nist.gov
  • CISA，Known Exploited Vulnerabilities Catalog（10月31日查核；未列入）— cisa.gov

更新紀錄

2026-10-31：初版，根據 Drupal 的公告與 NVD。

延伸閱讀

最新快訊

FAQ

Q發生了什麼事？
A

2026年10月28日，Drupal 安全團隊發布了 SA-CONTRIB-2026-254：Commerce Core 模組（CVE-2026-118539）對某些路由與實體欄位的保護不足，導致存取繞過。Drupal 將其評為 Highly critical，並表示該漏洞正在實際攻擊中被積極利用。

Q哪些版本受影響，哪些版本已修補？
A

根據 Drupal 的說法，低於 8.x-2.41 的版本，以及 3.0.0 至低於 3.3.13 的版本受影響。修補版本為 8.x-2.41（2.x 版本線）與 3.3.13（3.x 版本線）。

Q為什麼 Drupal 評為 Highly critical，而 NVD 只有 6.5 分？
A

兩者使用的評分體系不同。Drupal 的 21/25 綜合了無需身分驗證、已有實際利用等因素。NVD 的紀錄中帶有 CVSS v3.1 分數 6.5（機密性與完整性影響較低，無需身分驗證），由 CISA 的 ADP 加入 NVD 紀錄，NVD 自身的分析尚未完成。CVSS 分數不包含該漏洞正遭利用這一事實。請將其視為緊急事項。

Q攻擊者可以做什麼？
A

Drupal 只表示，該繞過可能對供應商（店主）造成財務影響，並未描述具體行為，本站也不作推測。Drupal 建議各網站稽核訂單中的不一致之處。

Q如何稽核我的訂單？
A

Drupal 的建議是稽核訂單中的不一致之處。作為起點（本站建議）：將標記為已付款或已完成的訂單與支付服務商的紀錄比對，並在盡可能長的時間範圍內，尋找金額、價格、狀態或客戶資料異常的訂單。請對照您上次更新的日期檢查日期。

Q它是否在 CISA 的 KEV 目錄中？
A

截至2026年10月31日尚未列入。NVD 的紀錄還顯示，CISA-ADP（協調方）在10月30日將利用情況列為「none」，這早於或有別於 Drupal 的說法。此處以 Drupal 的公告為主要依據。