# Drupal ostrzega przed wykorzystywaną luką w module Commerce Core, poprawka jest w wersjach 3.3.13 i 8.x-2.41 Zespół bezpieczeństwa Drupala potwierdza, że luka CVE-2026-118539 w module Commerce Core jest wykorzystywana w atakach na sklepy internetowe. Poprawki wydano 28 października 2026 r., a Drupal zaleca też przejrzenie zamówień. - Adres: - Rodzaj: Streszczenie - Data publikacji: 30.10.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [BleepingComputer](https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/) (30 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Drupal ostrzega przed luką CVE-2026-118539 w module Commerce Core, który służy do budowy sklepów internetowych na Drupalu. Zespół bezpieczeństwa Drupala oznaczył ją jako „highly critical” i podaje, że jest aktywnie wykorzystywana. Moduł nie chroni wystarczająco pewnych tras i pól encji, co prowadzi do obejścia kontroli dostępu i może uderzyć finansowo w sprzedawcę. Według BleepingComputer atakować mogą osoby nieuwierzytelnione, a moduł działa na ponad 42 000 stron. Poprawki wydano 28 października 2026 r.: dla gałęzi 3.x jest to **Commerce Core 3.3.13**, dla wcześniejszych wersji 8.x-2.41. Źródła różnią się przy opisie zakresu podatnych wersji. BleepingComputer i The Hacker News podają zakresy do 2.41 oraz do 3.3.13, ale według Drupal.org to właśnie te wersje zawierają poprawkę. Kanadyjskie Centrum Cyberbezpieczeństwa pisze o wersjach wcześniejszych niż 2.41 i o 3.0.0 wcześniejszych niż 3.3.13, a Ostorlab wskazuje 3.0.0 do 3.3.12. Jeśli twój podmiot prowadzi sklep na Drupalu z tym modułem, sprawdź zainstalowaną wersję. Ostorlab zaznacza, że obejścia konfiguracyjnego nie ma, bo ogłoszenie Drupala żadnego nie podaje. Drupal zaleca przejrzeć zamówienia pod kątem niespójności. Centarro, opiekun Drupal Commerce, opisuje dwa zgłoszenia prób składania fałszywych zamówień na działających sklepach. Według Centarro nie ma podstaw, by uważać, że nadużycie było skryptowane lub wykraczało poza te pierwsze sklepy. Ostorlab zauważa, że ogłoszenie Drupala nie wskazuje sprawców ani skali. Centarro radzi szukać zamówień złożonych, ale nieopłaconych, zamówień oznaczonych jako opłacone bez powiązanych płatności oraz zamówień z podejrzanymi cenami lub rabatami, których nie dodał personel. Centarro przypomina też, żeby nie realizować zamówień tylko na podstawie złożenia zamówienia lub zakończenia checkoutu, bo pełną płatność trzeba potwierdzić przed dostawą towaru lub usługi. Razem z Commerce Core wydano poprawki dla Commerce API, Commerce License, Commerce Shipping i Commerce Stripe, które należy zaktualizować w tym samym czasie. ## Źródła - [BleepingComputer: Drupal warns of critical Commerce Core flaw exploited in attacks](https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/) - [Canadian Centre for Cyber Security: Drupal security advisory (AV26-1105)](https://cyber.gc.ca/en/alerts-advisories/drupal-security-advisory-av26-1105) - [The Hacker News: Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw](https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html) - [Drupal.org: Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254](https://www.drupal.org/sa-contrib-2026-254) - [Centarro: Update Drupal Commerce sites for an exploit observed in the wild](https://www.centarro.io/blog/update-drupal-commerce-sites-exploit-observed-wild) - [Ostorlab: Drupal Commerce Access Bypass, Exploited in the Wild (CVE-2026-118539)](https://blog.ostorlab.co/drupal-commerce-access-bypass-cve-2026-118539.html) ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 30 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.