Bezpečnost ·
Drupal Commerce: kritická chyba CVE-2026-118539 se zneužívá k falešným objednávkám
Drupal 28. října 2026 označil chybu v modulu Commerce Core za vysoce kritickou a potvrdil její aktivní zneužívání. Podle bezpečnostní analýzy nemusí mít útočník účet a cílem jsou objednávky e-shopu.
Bezpečnostní tým Drupalu zveřejnil 28. října 2026 upozornění SA-CONTRIB-2026-254 k modulu Commerce Core, na kterém běží řada e-shopů postavených na Drupalu. Chyba s označením CVE-2026-118539 dostala nejvyšší kategorii „vysoce kritická“ (21 z 25 bodů) a Drupal výslovně uvádí, že se už zneužívá v praxi.
Modul podle upozornění dostatečně nechrání některé cesty a pole entit. Vzniká tak obejití kontroly přístupu, které může prodejci způsobit finanční škodu. Bezpečnostní firma Rescana z bodování Drupalu vyvozuje, že útočník nepotřebuje účet, a popisuje dvě hlášení o pokusech založit podvodné objednávky bez plné platby, například za 0,01 dolaru. Drupal sám způsob útoku ani rozsah kampaně neupřesnil.
Zranitelné jsou verze Commerce Core starší než 2.41 a verze od 3.0.0 do 3.3.12. Oprava je v větvi 3.x ve verzi 3.3.13 a ve starší větvi ve verzi 8.x-2.41. Rescana uvádí, že Drupal nenabízí žádné dočasné řešení, které by aktualizaci nahradilo.
Doporučení výrobce je dvojí: modul aktualizovat a zároveň zpětně zkontrolovat objednávky, zda v nich nejsou nesrovnalosti. Stejně radí i Centarro, vývojář Drupal Commerce. Samotná aktualizace totiž nezruší následky útoku, který proběhl před ní. Podvodná objednávka může skončit odesláním zboží nebo chybou v účetnictví a ve skladu.
Co to znamená pro firmy
Používáte-li Drupal Commerce, ověřte dnes verzi modulu, nasaďte 3.3.13 nebo 8.x-2.41 a projděte objednávky za poslední týdny: hledejte objednávky s nezvykle nízkou cenou a zaplacené objednávky bez odpovídající platby v bance nebo u platební brány. Pravidelné záplatování a hlídání takových upozornění patří do naší správy webu, širší prověrku e-shopu nabízíme v rámci kybernetické bezpečnosti. Rutinní kontrolu nesrovnalostí mezi objednávkami a platbami může navíc převzít i AI agent pro e-shopy, který neobvyklé případy předá člověku ke schválení. Prahapp, pražská AI divize společnosti Buinsoft Technology, vám rád pomůže s nezávazným prototypem.