Drupal 安全團隊於二零二六年十月二十八日發布社群模組安全公告 SA-CONTRIB-2026-254，指出電子商務核心模組 Commerce Core 存在「高度危急」存取繞過漏洞（CVE-2026-118539），未獲授權攻擊者可濫用受影響路由與實體欄位，或對商戶造成財務損失；官方明確寫道該漏洞正於野外被積極利用，並要求 3.x 分支立即升級至 3.3.13、較早版本升級至 8.x-2.41，同時審計訂單是否異常。本文核對自 Drupal.org 官方安全公告，來源真實性已驗證。
Drupal／官方：Commerce Core 高危存取繞過 CVE-2026-118539 正被積極利用——請即升級 3.3.13／2.41 並審計訂單
開源內容管理系統 Drupal 的電子商務生態再響警報。Drupal 安全團隊於二零二六年十月二十八日就 Commerce Core（機器名稱 commerce）發布高度危急存取繞過公告，風險評分為二十五分制中的二十一分，並標註野外已有利用；受影響版本涵蓋 2.41 之前，以及 3.0.0（含）至 3.3.13 之前。來源真實性已驗證。
一、核心事件與時間線
技術細節
根據官方公告 SA-CONTRIB-2026-254，Commerce Core 讓站點透過內建購物車與結帳表單，或以 API 驅動的解耦應用向顧客銷售商品與服務。問題在於模組「未充分保護若干路由與實體欄位」，形成存取繞過，可能對賣家造成財務影響。CVE 編號為 CVE-2026-118539；安全風險標示為 Highly critical 21／25，條件為無需認證、無需特殊權限，並標有「E:Exploit」（已有利用）與「TD:All」。
官方給出的修復路徑十分具體：使用 3.x 者應升級至 Commerce Core 3.3.13；使用較早版本者應升級至 Commerce Core 8.x-2.41。公告同時要求站點「審計訂單是否出現不一致」，因為漏洞正被積極利用。披露與修復由多位社群與 Drupal Security Team 成員協調完成。BleepingComputer 於十月三十日轉述同一公告，並呼籲管理員盡快套用修補；本文以 Drupal.org 原文為準，不以第三方估算站點數量為依據。
二、技術原理與營運含義
存取繞過與典型「遠端程式碼執行」不同：攻擊者未必需要先取得管理員帳號，而是利用授權檢查不足的路由或欄位，直接觸及本應受保護的商業流程——例如訂單、價格或結帳相關實體。對以 Drupal 建置網店、會員訂閱或 API 解耦前台的團隊而言，這等於在「未登入亦可觸達」的攻擊面上暴露金錢與庫存邏輯。
因此官方不止叫人「改版本號」，還要求事後審計訂單：若野外利用已開始，修補前窗口內可能已出現異常訂單、金額或狀態。營運上應把「套用 SA → 對帳／訂單稽核 → 檢視存取日誌 → 強化 WAF／速率限制」串成同一事件劇本，而不是只完成 composer／後台更新就結案。
三、日常應用場景
1. 開發者與技術團隊
維護 Drupal 電商站的工程師應立即核對 commerce 模組版本：3.x 升至 3.3.13，舊線升至 8.x-2.41；以 Composer 管理者應鎖定已修補版本並跑自動化測試覆蓋結帳、優惠與 API 下單路徑。CI／CD 宜加入「已知 Drupal SA／CVE 門檻」，避免暫存環境長期落後生產。解耦（headless）架構同樣受影響——官方點出 API 路徑，前端改版不能代替後端授權修正。
2. 企業與隱私敏感行業
零售、教育培訓、活動票務與 B2B 訂閱若以 Drupal Commerce 收款，財務與合規團隊應把此次公告視為「可能已影響營收數據」的事件：除升級外，應抽樣核對十月下旬以來的訂單、退款與異常折扣，並評估是否需對外顧客通知。供應鏈上若使用代理主機或多站共用程式碼庫，一處未修即全線暴露。
3. 一般用戶
一般消費者無需自行修 Drupal，但若收到來路不明的「訂單確認／退款／重設密碼」郵件，應直接打開書籤中的官方網域核對，勿點擊郵件內連結。商戶若暫未能升級，應考慮暫時關閉公開註冊或高風險促銷流程，並提高對異常大額／重複訂單的人工覆核。
4. 香港與亞洲市場視角
香港不少中小企、社團與教育機構以 Drupal 建站並外掛電商或活動報名；代理維護商若同時管理多個客戶站，應建立「SA 發布後二十四至四十八小時內完成升級與訂單抽查」的服務級目標。本地若把結帳對接支付閘道或 ERP，修補後仍需驗證回呼與對帳檔，避免修補本身引入設定漂移。雲端託管與 WAF 可降低掃描噪音，但無法取代模組級授權修正——官方已確認野外利用，拖延升級等於延長財務暴露窗口。
四、專業評價與潛在考量
優勢
Drupal 以公開 SA、明確 CVE、版本區間與「立即升級＋審計訂單」雙軌指引回應，資訊密度高、可核對。標註「高度危急」並承認野外利用，有助經營者排程優於一般功能發佈。協調名單公開，亦方便社群追蹤責任歸屬與後續修補品質。
需要留意的地方
公告未詳列野外利用的具體攻擊手法、受害產業或已確認損失金額，管理員不能只靠「有沒有被寫進新聞」判斷自身是否中招——訂單審計仍不可省。僅升級而不檢查自訂路由、第三方 Commerce 外掛或舊版補丁回移，仍可能留下旁路。歷史上 Drupal 核心與貢獻模組曾多次進入已知被利用清單，電商站應把「訂閱 security.drupal.org／SA 並自動化升級」視為營運成本，而非偶發救火。
結語
當購物車與結帳 API 的授權檢查不足，攻擊者不必先攻下管理員帳號，也能直接衝擊營收與訂單完整性。Drupal 對 Commerce Core CVE-2026-118539 的高度危急示警，提醒所有以開源 CMS 做生意的團隊：修補節奏與訂單審計，應與上架促銷同等優先。若企業需要雲端遷移、主機加固、WAF 與漏洞應變演練，或希望把電商站的修補與監控納入可營運流程，可參考 YSK Limited 的香港雲端遷移與網絡安全（https://ysk.hk/services/cloud-security）。
參考來源
- Drupal／官方：Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254（2026-10-28）https://www.drupal.org/sa-contrib-2026-254
- BleepingComputer：Drupal warns of critical Commerce Core flaw exploited in attacks（2026-10-30，轉述官方公告）https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/
- 發現來源：BleepingComputer RSS（核對後以 Drupal.org 官方 SA 為主）