Drupal เตือนช่องโหว่ Commerce Core ถูกโจมตีหนัก มุ่งเป้าร้านค้าออนไลน์

Drupal ประกาศเตือนเจ้าของร้านค้าออนไลน์ให้รีบแก้ไขช่องโหว่การข้ามผ่านการตรวจสอบสิทธิ์ (access bypass) ระดับวิกฤตสูงในโมดูล Commerce Core หลังพบหลักฐานว่าช่องโหว่ดังกล่าวเริ่มถูกกลุ่มผู้ไม่หวังดีโจมตีเป็นวงกว้างในขณะนี้

ช่องโหว่รหัส CVE-2026-118539 ส่งผลกระทบโดยตรงต่อโมดูลเสริมที่ทำหน้าที่จัดการระบบ e-commerce ของเว็บไซต์ Drupal ไม่ว่าจะเป็นระบบตะกร้าสินค้าหรือกระบวนการชำระเงิน โดยข้อมูลสถิติระบุว่า module นี้ถูกติดตั้งใช้งานบนเว็บไซต์มากกว่า 42,000 แห่งทั่วโลก

ทีมความปลอดภัยอธิบายในคำแนะนำด้านความปลอดภัยว่า ตัวโมดูลไม่ได้ป้องกันเส้นทาง (routes) และฟิลด์เอนทิตี (entity fields) บางส่วนอย่างเพียงพอ เปิดช่องให้เกิดการข้ามผ่านการตรวจสอบสิทธิ์ ซึ่งอาจส่งผลกระทบทางการเงินโดยตรงต่อผู้ขาย

จากการประเมินความเสี่ยงพบว่าปัญหานี้มีคะแนนสูงถึง 21 จาก 25 คะแนน ซึ่งหมายความว่าผู้โจมตีที่ไม่ได้รับการรับรองสิทธิ์ (unauthenticated attackers) สามารถเจาะระบบได้ทันทีโดยไม่คำนึงว่าโมดูลจะถูกตั้งค่าไว้อย่างไร

แม้ Drupal จะยืนยันการถูกโจมตีแล้ว แต่ยังไม่มีการเปิดเผยรายละเอียดเชิงลึกเกี่ยวกับรูปแบบการโจมตี ผู้ที่อยู่เบื้องหลัง หรือจำนวนเว็บไซต์ที่ได้รับความเสียหายที่แน่ชัด รวมถึงยังไม่มีการระบุว่าเป็นช่องโหว่ประเภท zero-day หรือไม่

ช่องโหว่นี้ส่งผลกระทบต่อ Commerce Core เวอร์ชัน 3.x ก่อน 3.3.13 และเวอร์ชันก่อนหน้าก่อน 8.x-2.41 ผู้ดูแลระบบจึงควรดำเนินการอัปเดตเป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขแล้ว พร้อมทั้งตรวจสอบรายการสั่งซื้อในร้านค้าเพื่อหาความผิดปกติที่อาจเกิดขึ้นจากการโจมตี

นอกจากนี้ Drupal ยังได้เผยแพร่คำแนะนำด้านความปลอดภัยอื่นๆ อีก 38 ฉบับ advisories เมื่อวันที่ 28 ตุลาคม เพื่อจัดการช่องโหว่ในโปรเจกต์เสริม 21 รายการ ซึ่งรวมถึงข้อบกพร่องระดับวิกฤตที่นำไปสู่ remote code execution, การยึดบัญชี (account takeover) หรือการโกงสถานะการชำระเงินผ่านระบบ Stripe

ในขณะเดียวกัน โมดูล CAPTCHA ก็ได้รับการแก้ไขข้อบกพร่องระดับวิกฤตปานกลาง ที่เปิดให้ส่งฟอร์มซ้ำได้โดยไม่ต้องแก้โจทย์ใหม่ โดยมีการระบุว่ามี exploit code สำหรับข้อบกพร่องนี้เผยแพร่อยู่ในวงกว้างแล้ว

สำหรับความเคลื่อนไหวก่อนหน้านี้ เมื่อวันที่ 14 ตุลาคม Drupal ได้ประกาศแก้ไข critical remote code execution bugs สองรายการ ได้แก่ CVE-2026-108097 และ CVE-2026-108099 แม้จะยังไม่มีรายงานการโจมตีจริงในขณะนั้นก็ตาม

ย้อนกลับไปในเดือนพฤษภาคม ช่องโหว่ CVE-2026-9082 ซึ่งเป็นปัญหา SQL injection ระดับวิกฤตสูงใน database abstraction API ที่กระทบไซต์ใช้ PostgreSQL ก็เคย ดึงดูดความพยายามในการโจมตี ทันทีหลังจากที่มีการเปิดเผยข้อมูลเช่นกัน