Drupal Commerce Core 漏洞已遭利用，網店應盡快修補

Drupal Commerce Core 被揭發存在高嚴重度存取控制繞過漏洞 CVE-2026-118539。iThome 報道指出，Drupal 開發團隊已警告漏洞正遭積極利用；使用該模組營運網店、會員功能或結帳流程的網站，應盡快確認部署版本並套用官方更新。

漏洞的核心問題，是 Commerce Core 未有充分保護部分路徑及欄位。攻擊者或可在未通過身分驗證下，讀取原本應受限制的資源。iThome 引述 Drupal 的評級，該漏洞獲 21 分（滿分 25 分），屬「Highly Critical」級別。

不過，存取控制被繞過不等同已證實客戶資料、訂單或付款資料外洩。現有資料只支持「受限資源可能被未授權存取」及「已出現利用行為」這兩點；個別商戶是否受影響，仍取決於其 Commerce Core 版本、網站配置，以及受限路徑和欄位實際承載的資料。

商戶與技術團隊可先做甚麼

1. 核對是否使用 Commerce Core：檢查生產環境的 Drupal 專案依賴及已安裝模組版本，並以官方安全公告列出的受影響範圍和修補版本為準。
2. 盡快套用官方修補：先按既有變更流程備份及在測試環境驗證，再將官方新版程式部署至生產環境；不要只依賴修改前端頁面或關閉個別功能作為長期處置。
3. 覆查敏感資源：集中檢查與購物車、結帳表單、帳戶、訂單及 API 整合相關的受限路徑和欄位，確認匿名用戶與低權限帳戶沒有超出預期的讀取權限。
4. 搜尋異常存取紀錄：回看 web server、Drupal 及 API 日誌，特別留意未登入請求是否反覆探測原有限制的路徑、出現不尋常的欄位查詢，或有異常的大量回應資料。

對依賴 Drupal Commerce 處理訂單與會員資料的營運者而言，這次事件的優先事項是修補與查核，而非預設已經失竊。後續值得留意的是，Drupal 官方會否補充受影響版本範圍、修補細節或已知攻擊跡象；這些資訊將有助網站團隊把日誌追查範圍收窄。

延伸閱讀

• AI Agent 拉低試錯成本，SSO 信任鏈成防線焦點
• Chrome與Windows零時差漏洞串連：釣魚連結如何把瀏覽器帳戶帶入風險

AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。

參考來源

• iThome — Drupal揭露已遭利用的Commerce Core模組重大漏洞 — original report

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。