ความปลอดภัย · 2 พฤศจิกายน 2026
แฮกเกอร์ใช้ประโยชน์จากช่องโหว่การอนุญาตใน Drupal Commerce Core อย่างร้ายแรง
Drupal ได้ออกมาเตือนว่ามีผู้โจมตีที่ใช้ช่องโหว่ด้านความปลอดภัยที่ "ร้ายแรงมาก" ในส่วนประกอบ Commerce Core ของตน.
ช่องโหว่ที่มีการติดตามว่าเป็น CVE-2026-118539 (คะแนน CVSS: ไม่สามารถระบุได้) เป็นกรณีของการขาดการอนุญาตซึ่งส่งผลกระทบต่อเวอร์ชัน Commerce Core ตั้งแต่ 0.0.0 ถึง 2.41 และตั้งแต่ 3.0.0 ถึง 3.3.13.
“โมดูลนี้ช่วยให้คุณสามารถขายสินค้าและบริการให้กับลูกค้าผ่านทางรถเข็นช็อปปิ้งและแบบฟอร์มชำระเงินที่รวมอยู่ หรือผ่านแอปพลิเคชันที่แยกออกมาผ่าน API” Drupal กล่าวในคำแนะนำ.
“โมดูลนี้ไม่ได้ป้องกันเส้นทางและฟิลด์เอนทิตี้บางอย่างอย่างเพียงพอ ทำให้เกิดการข้ามการเข้าถึงที่อาจส่งผลกระทบทางการเงินต่อผู้ขาย.”
การพัฒนานี้เกิดขึ้นในขณะที่ช่องโหว่ที่ร้ายแรงสองรายการใน PHP ซึ่งติดตามว่าเป็น CVE-2026-109618 และ CVE-2026-109619 (คะแนน CVSS: 9.2) กำลังเผชิญกับการพยายามโจมตีที่ใช้งานอยู่ในธรรมชาติ.