Co se stalo
Bezpečnostní tým Drupalu zveřejnil 28. října 2026 bulletin SA-CONTRIB-2026-254 k modulu Commerce Core. Jde o základní modul systému Drupal Commerce, který umožňuje prodávat zboží a služby přes nákupní košík a pokladnu přímo na webu nebo přes samostatné aplikace napojené přes API. Chyba má označení CVE-2026-118539, v evropské databázi zranitelností EUVD je vedena jako EUVD-2026-113518.
Podle Drupalu modul dostatečně nechrání některé adresy (routes) a datová pole, takže lze obejít kontrolu přístupu. Drupal upozorňuje, že to může provozovatele obchodu finančně poškodit. Chybu nahlásili Dan Puccetti, Marcus Johansson a Robert Snyder.
Nejdůležitější je, že Drupal v bulletinu výslovně uvádí, že chyba je už aktivně zneužívána. Podrobnosti o útocích ani o jejich rozsahu podle serveru The Hacker News nezveřejnil.
Proč je to nebezpečné
Jde o chybu typu „chybějící autorizace“ (CWE-862). Aplikace u některých funkcí nekontroluje, zda má návštěvník na danou akci vůbec právo. Je to jako sklad, jehož dveře jsou sice schované v zadní chodbě, ale nejsou zamčené: kdo ví, kam jít, ten vejde. Oficiální popis CVE chybu označuje jako „forceful browsing“, tedy přímý přístup na adresy, které měly být chráněné.
Drupal ohodnotil chybu stupněm „Highly critical“ (vysoce kritická) se skóre 21 z 25 podle vlastní metodiky. Z hodnocení vyplývá, že útok není složitý, útočník se nemusí přihlásit, týká se to běžných konfigurací a existuje funkční exploit. Dopad na důvěrnost i integritu dat Drupal hodnotí jako částečný. Protože je e-shop veřejně dostupný na internetu, útočník se k němu dostane odkudkoli.
Co přesně může útočník získat, Drupal blíže nepopsal. Mluví o obejití kontroly přístupu k některým adresám a datovým polím s možným finančním dopadem na obchod. Převzetí serveru ani spuštění kódu v bulletinu neuvádí.
Skóre CVSS, tedy mezinárodní hodnocení závažnosti na stupnici od 0 do 10, chyba k 30. říjnu 2026 zatím nemá. Nepřidělila ho ani databáze NVD. Chybí i hodnota EPSS, která odhaduje pravděpodobnost zneužití v nejbližších 30 dnech. Chyba zatím není ani v katalogu CISA KEV, což je seznam amerického úřadu CISA s chybami, které jsou prokazatelně zneužívány. Na tom ale nezáleží: zneužívání potvrdil přímo Drupal.
Koho se to týká
Týká se to všech webů na Drupalu, které používají modul Commerce Core (projekt commerce). Jde hlavně o e-shopy postavené na Drupal Commerce a o aplikace, které s obchodem komunikují přes API. Zranitelné jsou:
- verze Commerce Core nižší než 2.41
- verze Commerce Core od 3.0.0 nižší než 3.3.13
Typicky jde o e-shopy a objednávkové systémy firem a organizací, které běží na vlastních serverech, VPS nebo je spravuje hosting či webová agentura. Pokud vám web dělala agentura, můžete Commerce používat, aniž byste o tom věděli.
Netýká se to webů na Drupalu, které modul Commerce Core nemají nainstalovaný. Chyba je v doplňkovém modulu, ne v samotném jádru Drupalu.
Jak zjistit, zda jste zasaženi
Nejjednodušší je podívat se do administrace Drupalu. Na stránce dostupných aktualizací (/admin/reports/updates) uvidíte nainstalovanou verzi modulu Commerce a případné upozornění na bezpečnostní aktualizaci. Verzi najdete také v seznamu modulů na adrese /admin/modules.
Na serveru v adresáři projektu můžete použít tyto příkazy. Nic nemění, jen vypíšou verzi nebo známé bezpečnostní problémy:
composer show drupal/commercedrush pm:list --type=module --status=enabled | grep -i commercedrush pm:securityPokud máte verzi od 3.0.0 nižší než 3.3.13 nebo verzi nižší než 2.41, web je zranitelný. Composer zobrazuje starší verze bez předpony „8.x-“.
Jak to opravit
Drupal doporučuje nainstalovat nejnovější verzi:
- pokud používáte verzi 3.x, aktualizujte na Commerce Core 3.3.13
- pokud používáte starší verzi, aktualizujte na Commerce Core 8.x-2.41
Dočasné řešení, které by nahradilo aktualizaci, Drupal neuvádí. Protože je chyba aktivně zneužívána, aktualizujte co nejdřív, ideálně ještě dnes.
Postup:
- Zazálohujte databázi a soubory webu.
- V adresáři projektu aktualizujte modul přes Composer (příkazy níže).
- Spusťte aktualizace databáze a vyčistěte cache.
- Znovu ověřte verzi a otestujte košík, pokladnu a platby.
- Zkontrolujte objednávky, jak doporučuje Drupal (viz další sekce).
composer update drupal/commerce --with-all-dependencies
drush updatedb
drush cache:rebuildPokud máte v composer.json omezení verze, které novou verzi nepustí, je potřeba ho upravit. Pokud web spravuje agentura nebo hosting, požádejte je o aktualizaci ještě dnes a nechte si potvrdit nainstalovanou verzi. Jako první řešte veřejné e-shopy se skutečnými platbami, potom testovací a interní instance.
Co když už jste mohli být napadeni
Drupal výslovně doporučuje, aby provozovatelé zkontrolovali objednávky, zda v nich nejsou nesrovnalosti, protože chyba je už zneužívána. Konkrétní indikátory napadení, například IP adresy útočníků, Drupal nezveřejnil.
Na co se podívat:
- objednávky, jejichž částka, sleva nebo položky neodpovídají ceníku
- objednávky označené jako zaplacené bez odpovídající platby v platební bráně
- změny stavu objednávek, které nikdo z vašich lidí neprovedl
- neznámé uživatelské účty nebo nečekané změny rolí a oprávnění
- neobvyklé požadavky v logu webového serveru, hlavně opakované přístupy na adresy obchodu a API z neznámých IP adres
Záznamy Drupalu si můžete přečíst příkazem drush watchdog:show nebo v administraci na /admin/reports/dblog, pokud máte zapnuté ukládání logů do databáze.
Pokud najdete nesrovnalosti nebo máte podezření na únik dat zákazníků, uchovejte logy a přizvěte odborníka na bezpečnost. Při úniku osobních údajů můžete mít podle GDPR povinnost nahlásit incident Úřadu pro ochranu osobních údajů do 72 hodin.