Drupal Commerce Core 3.3.13 版漏洞被主動利用，官方已釋出修補
Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw
Drupal Commerce Core 3.3.13 版已釋出修補，使用者應盡快升級以防止財務損失。
- 影響版本：0.0.0‑2.41、3.0.0‑3.3.13
- 安全等級：高危
- 修補建議：升級至 3.3.13
Drupal Commerce Core 3.3.13 已釋出修補程式，使用者須即時升級以避免被利用造成財務損失
Ravie LakshmananOct 30, 2026漏洞 / 網路安全
Drupal 已警告，威脅行為者正在利用其 Commerce Core 元件中的「高度關鍵」安全漏洞。
該漏洞，追蹤編號為 CVE-2026-118539（CVSS 分數：N/A），屬於缺失授權問題，影響 Commerce Core 版本 0.0.0 至 2.41 以及 3.0.0 至 3.3.13。
「此模組可讓您透過內建購物車與結帳表單，或透過 API 連線分離式應用程式，向客戶銷售商品與服務，」Drupal 說明在一份諮詢檔案中。
「此模組未能充分保護某些路由與實體欄位，導致存取繞過，可能對供應商造成財務損失。」
這個開源內容管理框架承認該漏洞正在「被活躍利用於野外」，但未提供任何關於活動性質或攻擊規模的具體資訊。
建議使用者升級至最新版本 -
- 3.x 版 - 升級至 Commerce Core 3.3.13
- 舊版 - 升級至 Commerce Core 8.x-2.41
Drupal 已將此漏洞報告歸功於研究員 Dan Puccetti (dpuccetti)、Marcus Johansson (marcus_johansson) 與 Robert Snyder (rsnyd)。
此發展發生於 PHP 中兩個關鍵漏洞，追蹤編號 CVE-2026-109618 與 CVE-2026-109619（CVSS 分數：9.2），統稱為 PHP2Shell，目前正被活躍利用於野外。
截至 10 月 25 日，根據 Google 所屬 Wiz 的資料，受 PHP2Shell 重大影響的組織比例已降至 52.1%。
該雲端安全公司表示，迄今為止已觀察到兩種型別的活動，其中包括使用與公開概念驗證（PoC）相符的 PHP2Shell 利用機制的嘗試。
另一類別則指「與漏洞無關的 PHP2Shell 品牌工具，改為利用會話毒化以及應用程式中另一個本地檔案包含（LFI）漏洞，」Wiz 研究員 Yaara Shriki、Shahar Dorfman、Alma Blachsan 與 Yaron Samuel 說明。
「我們的觀察顯示，僅觸發記憶體耗盡並不足以完成利用鏈。PHP 版本、記憶體限制與工作者行為的差異可能阻止後續階段執行。機會主義攻擊者的挑戰是……」
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，閱讀更多專屬內容。