Čo sa stalo
Bezpečnostný tím Drupalu zverejnil 28. októbra 2026 bulletin SA-CONTRIB-2026-254 k modulu Commerce Core. Je to základný modul systému Drupal Commerce, ktorý umožňuje predávať tovar a služby cez nákupný košík a pokladňu priamo na webe alebo cez samostatné aplikácie napojené cez API. Chyba má označenie CVE-2026-118539 a v európskej databáze zraniteľností EUVD ju nájdete ako EUVD-2026-113518.
Podľa Drupalu modul dostatočne nechráni niektoré adresy (routes) a polia údajov, takže sa dá obísť kontrola prístupu. Drupal varuje, že to môže prevádzkovateľa obchodu finančne poškodiť. Chybu nahlásili Dan Puccetti, Marcus Johansson a Robert Snyder.
Najdôležitejšie je, že Drupal v bulletine výslovne uvádza, že chyba sa už aktívne zneužíva. Podrobnosti o útokoch ani o ich rozsahu podľa servera The Hacker News nezverejnil.
Prečo je to nebezpečné
Ide o chybu typu „chýbajúca autorizácia“ (CWE-862). Aplikácia pri niektorých funkciách nekontroluje, či má návštevník na danú akciu vôbec právo. Je to ako sklad, ktorého dvere sú síce schované v zadnej chodbe, ale nie sú zamknuté: kto vie, kam ísť, vojde. Oficiálny popis CVE chybu opisuje ako „forceful browsing“, teda priamy prístup na adresy, ktoré mali byť chránené.
Drupal ohodnotil chybu stupňom „Highly critical“ (vysoko kritická) so skóre 21 z 25 podľa vlastnej metodiky. Z hodnotenia vyplýva, že útok nie je zložitý, útočník sa nemusí prihlásiť, týka sa to bežných konfigurácií a existuje funkčný exploit. Dopad na dôvernosť aj integritu údajov Drupal hodnotí ako čiastočný. Keďže e-shop je verejne dostupný na internete, útočník sa k nemu dostane odkiaľkoľvek.
Čo presne môže útočník získať, Drupal bližšie neopísal. Hovorí o obídení kontroly prístupu k niektorým adresám a poliam údajov s možným finančným dopadom na obchod. Prevzatie servera ani spúšťanie kódu v bulletine neuvádza.
Skóre CVSS, teda medzinárodné hodnotenie závažnosti na stupnici od 0 do 10, chyba k 30. októbru 2026 zatiaľ nemá. Nepridelila ho ani databáza NVD. Chýba aj hodnota EPSS, ktorá odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. Chyba zatiaľ nie je ani v katalógu CISA KEV, čo je zoznam amerického úradu CISA s chybami, ktoré sa preukázateľne zneužívajú. Na tom však nezáleží: zneužívanie potvrdil priamo Drupal.
Koho sa to týka
Týka sa to všetkých webov na Drupale, ktoré používajú modul Commerce Core (projekt commerce). Ide najmä o e-shopy postavené na Drupal Commerce a o aplikácie, ktoré s obchodom komunikujú cez API. Zraniteľné sú:
- verzie Commerce Core nižšie ako 2.41
- verzie Commerce Core od 3.0.0 nižšie ako 3.3.13
Typicky ide o e-shopy a objednávkové systémy firiem a organizácií, ktoré bežia na vlastných serveroch, VPS alebo ich spravuje hosting či webová agentúra. Ak vám web robila agentúra, môžete Commerce používať bez toho, aby ste o tom vedeli.
Netýka sa to webov na Drupale, ktoré modul Commerce Core nemajú nainštalovaný. Chyba je v doplnkovom module, nie v samotnom jadre Drupalu.
Ako zistiť, či ste zasiahnutí
Najjednoduchšie je pozrieť do administrácie Drupalu. Na stránke dostupných aktualizácií (/admin/reports/updates) uvidíte nainštalovanú verziu modulu Commerce a prípadné upozornenie na bezpečnostnú aktualizáciu. Verziu nájdete aj v zozname modulov na adrese /admin/modules.
Na serveri v adresári projektu môžete použiť tieto príkazy. Nič nemenia, len vypíšu verziu alebo známe bezpečnostné problémy:
composer show drupal/commercedrush pm:list --type=module --status=enabled | grep -i commercedrush pm:securityAk máte verziu od 3.0.0 nižšiu ako 3.3.13 alebo verziu nižšiu ako 2.41, web je zraniteľný. Composer zobrazuje staršie verzie bez predpony „8.x-“.
Ako to opraviť
Drupal odporúča nainštalovať najnovšiu verziu:
- ak používate verziu 3.x, aktualizujte na Commerce Core 3.3.13
- ak používate staršiu verziu, aktualizujte na Commerce Core 8.x-2.41
Dočasné riešenie, ktoré by nahradilo aktualizáciu, Drupal neuvádza. Keďže sa chyba aktívne zneužíva, aktualizujte čo najskôr, ideálne ešte dnes.
Postup:
- Zálohujte databázu a súbory webu.
- V adresári projektu aktualizujte modul cez Composer (príkazy nižšie).
- Spustite aktualizácie databázy a vyčistite cache.
- Znova overte verziu a otestujte košík, pokladňu a platby.
- Skontrolujte objednávky, ako odporúča Drupal (pozri ďalšiu sekciu).
composer update drupal/commerce --with-all-dependencies
drush updatedb
drush cache:rebuildAk máte v composer.json obmedzenie verzie, ktoré novú verziu nepustí, treba ho upraviť. Ak web spravuje agentúra alebo hosting, požiadajte ich o aktualizáciu ešte dnes a nechajte si potvrdiť nainštalovanú verziu. Ako prvé riešte verejné e-shopy s reálnymi platbami, potom testovacie a interné inštancie.
Čo ak už ste mohli byť napadnutí
Drupal výslovne odporúča, aby prevádzkovatelia skontrolovali objednávky, či v nich nie sú nezrovnalosti, pretože chyba sa už zneužíva. Konkrétne indikátory napadnutia, napríklad IP adresy útočníkov, Drupal nezverejnil.
Na čo sa pozrieť:
- objednávky, ktorých suma, zľava alebo položky nesedia s cenníkom
- objednávky označené ako zaplatené bez zodpovedajúcej platby v platobnej bráne
- zmeny stavu objednávok, ktoré nikto z vašich ľudí neurobil
- neznáme používateľské účty alebo nečakané zmeny rolí a oprávnení
- nezvyčajné požiadavky v logoch webového servera, najmä opakované prístupy na adresy obchodu a API z neznámych IP adries
Záznamy Drupalu si môžete prečítať príkazom drush watchdog:show alebo v administrácii na /admin/reports/dblog, ak máte zapnuté ukladanie logov do databázy.
Ak nájdete nezrovnalosti alebo máte podozrenie na únik údajov zákazníkov, zachovajte logy a prizvite odborníka na bezpečnosť. Pri úniku osobných údajov môžete mať podľa GDPR povinnosť nahlásiť incident Úradu na ochranu osobných údajov do 72 hodín.