Týká se vás to?
- Týká se: firem, jejichž e-shop běží na Drupalu s modulem Commerce Core, a agentur či MSP, které takové obchody provozují pro klienty. Podle serverů Mezha a RuntimeWire modul používá přes 42 000 známých webů.
- Netýká se vás, pokud: váš obchod běží na jiné platformě, nebo váš web na Drupalu modul Commerce nepoužívá.
Co udělat
- Zjistěte, jakou verzi Commerce Core máte: na webech spravovaných Composerem příkazem
composer show drupal/commerce. - Ve větvi 3.x přejděte na 3.3.13, na čemkoli starším na 8.x-2.41. Obě verze opravu obsahují.
- Dnes aktualizovat nemůžete? Drupal neuvádí žádné náhradní opatření, jen aktualizaci. Do té doby podle nás žádnou objednávku neexpedujte, dokud platbu nepotvrdí váš platební poskytovatel.
- Po aktualizaci zkontrolujte objednávky a hledejte nesrovnalosti, jak Drupal žádá. Drupal neuvádí, co hledat, ani kdy útoky začaly; 28. října už probíhaly, takže kontrolu začněte u objednávek z doby dlouho před tímto datem. Podle nás porovnejte každou objednávku označenou jako zaplacenou se záznamy platebního poskytovatele a ceny a slevy s tím, co skutečně účtujete.
- Našli jste objednávky, které nesedí? Podle nás pozdržte jejich expedici, dokud se platba nepotvrdí, a uschovejte logy webového serveru z té doby.
Co víme – a co ne
- Bulletin Drupalu SA-CONTRIB-2026-254 dává chybě 21 bodů z 25 (vysoce kritická) a uvádí, že se aktivně zneužívá. Některé cesty a pole entit nejsou dostatečně chráněné; záznam CVE ji vede jako chybějící autorizaci (CVE-2026-118539).
- Popis v záznamu CVE, který citují zprávy, uvádí rozsah zasažených verzí jako „0.0.0 až 2.41, 3.0.0 až 3.3.13“, jako by byly zasažené i opravené verze; bulletin i údaje o verzích v záznamu uvádějí jen verze nižší než tyto.
- Drupal neuvádí, kdo útočí, kolik obchodů bylo zasaženo ani co útočníci mění. RuntimeWire píše, že chyba míří na ceny, úpravy objednávek a na to, zda platba vůbec proběhla; samotný bulletin říká jen, že může prodejce finančně poškodit.
- Hodnocení se liší. CISA ve svém záznamu u CVE dává chybě skóre 6,5 (střední závažnost) a její posouzení z 30. října neuvádělo žádné známé zneužití; v katalogu zneužívaných zranitelností CISA chyba k tomu dni nebyla. Bezpečnostní tým Drupalu, který bulletin vydal, říká, že se zneužívá.
Proč na tom záleží
Tahle chyba je hned vedle peněz: u objednávky a podle RuntimeWire i u její ceny a stavu platby. Aktualizace zastaví další zneužití, ale jen pohled do minulých objednávek ukáže, jestli už zboží neodešlo ze skladu nezaplacené.