Masz sklep na Drupal Commerce? Zaktualizuj go jak najszybciej. 28 października zespół bezpieczeństwa Drupala opublikował komunikat SA-CONTRIB-2026-254 o luce CVE-2026-118539 w module Commerce Core. Oznaczył ją jako „highly critical”, czyli wysoce krytyczną, i potwierdził, że atakujący już ją wykorzystują.
Na czym polega problem?
- Moduł nie zabezpiecza wystarczająco niektórych ścieżek i pól z danymi sklepu. Atakujący nie musi mieć konta ani się logować.
- Skutki są przede wszystkim finansowe: zamówienia bez zapłaty, zmienione ceny produktów i nieuprawnione rabaty. Zgłaszano m.in. zamówienia z ceną 0,01 USD.
- W sklepach z włączonym JSON:API zamówienie może wyglądać na opłacone, choć pieniądze nie wpłynęły. Jeśli nikt tego nie zauważy, towar wyjdzie z magazynu za darmo.
Commerce Core działa w ponad 42 tys. sklepów, ale nie każdy z nich jest tak samo narażony – część scenariuszy wymaga określonej konfiguracji. Centarro, firma rozwijająca Drupal Commerce, opisała pierwsze próby oszukańczych zamówień zauważone przez właścicieli sklepów, ale na razie nie widzi śladów masowej, zautomatyzowanej kampanii.
Które wersje są bezpieczne?
Poprawki są w wersjach 8.x-2.41 (gałąź 2.x) i 3.3.13 (gałąź 3.x). Wersja 3.3.13 usuwa przy okazji sześć innych zgłoszonych problemów, m.in. ujawnianie informacji i obchodzenie kontroli dostępu.
Co zrobić?
- Zrobić kopię zapasową plików sklepu i bazy danych.
- Zaktualizować Commerce Core do 8.x-2.41 albo 3.3.13 (lub nowszej).
- Przejrzeć ostatnie zamówienia: oznaczone jako opłacone bez pasującej transakcji, z podejrzanie niskimi cenami, z dziwnymi rabatami albo złożone z pominięciem zwykłego koszyka.
- Porównać podejrzane zamówienia z logami serwera i sprawdzić ręcznie nadpisane ceny.
- Jeśli JSON:API nie musi zmieniać danych, ustawić go tylko do odczytu.
- Sprawdzić aktualizacje powiązanych modułów, m.in. Commerce API, Commerce License, Commerce Shipping i Commerce Stripe.
To nie pierwszy w tym roku poważny problem w ekosystemie Drupala. W maju atakujący wykorzystywali lukę SQL injection w rdzeniu (CVE-2026-9082), a w październiku załatano dwie luki pozwalające na zdalne wykonanie kodu. Sklep, który nie jest regularnie aktualizowany, to sklep, na którym ktoś prędzej czy później spróbuje zarobić zamiast Ciebie.
Nie masz pewności, czy Twój sklep jest bezpieczny? Zrobię audyt bezpieczeństwa (od 200 zł netto), zaktualizuję moduły i pomogę przejrzeć zamówienia. Jeśli myślisz o nowym sklepie, zbuduję go tak, żeby był bezpieczny od startu – od 6990 zł netto, szczegóły w cenniku. Napisz do mnie.