ผู้ดูแลเว็บไซต์ Drupal ที่ใช้โมดูล Commerce Core ควรตรวจ CVE-2026-118539 และอัปเดตทันที Drupal Security Team ระบุว่าช่องโหว่การข้ามสิทธิ์นี้ถูกใช้โจมตีจริง และให้ตรวจคำสั่งซื้อย้อนหลังหลังแก้ไขระบบ
อ่านสั้นๆ
- กระทบโมดูล Commerce Core รุ่นก่อน 8.x-2.41 และสาย 3.x ก่อน 3.3.13
- รุ่นแก้ไขคือ 8.x-2.41 หรือ 3.3.13 ตามสายที่ใช้
- ต้องตรวจคำสั่งซื้อผิดปกติย้อนหลัง เพราะการอัปเดตไม่ย้อนแก้รายการที่อาจถูกสร้างก่อนหน้า
ช่องโหว่นี้คืออะไร
Drupal ระบุว่า Commerce Core ปกป้องเส้นทางและฟิลด์ข้อมูลบางส่วนไม่เพียงพอ ทำให้ผู้ไม่ผ่านการยืนยันตัวตนอาจข้ามการควบคุมสิทธิ์ได้ ผลกระทบอาจเกี่ยวกับรายการสั่งซื้อและรายได้ของร้านค้าออนไลน์ ช่องโหว่มีหมายเลข CVE-2026-118539 และจัดเป็น Highly critical ในระบบให้คะแนนของ Drupal
เว็บไซต์ใดต้องอัปเดต
ต้องเป็นเว็บไซต์ Drupal ที่ติดตั้งโมดูล Commerce Core และใช้รุ่นที่ประกาศว่าได้รับผลกระทบ หากเว็บไซต์เป็น WordPress หรือ Drupal ที่ไม่ได้ใช้ Commerce Core ข่าวนี้ไม่ใช่เหตุให้ต้องลงแพตช์ดังกล่าว ผู้ดูแลควรตรวจรุ่นจริงในระบบจัดการแพ็กเกจหรือหน้ารายการโมดูลก่อนเปลี่ยนแปลง
หลังอัปเดตควรตรวจอะไร
Drupal แนะนำให้สาย 3.x อัปเดตเป็น 3.3.13 และสายเก่าเป็น 8.x-2.41 จากนั้นตรวจคำสั่งซื้อว่ามีส่วนลด ยอดเงิน หรือสถานะผิดปกติหรือไม่ สำรองฐานข้อมูลและทดสอบขั้นตอนสั่งซื้อหลังอัปเดต หากพบรายการต้องสงสัยให้เก็บหลักฐานและประสานผู้รับผิดชอบระบบการเงิน
ทำอะไรต่อได้บ้าง
ตรวจว่าหน่วยงานใช้งานผลิตภัณฑ์หรือการตั้งค่าที่กล่าวถึงจริงหรือไม่ บันทึกรุ่นปัจจุบันและผู้รับผิดชอบ ก่อนดำเนินการตามประกาศผู้ผลิตที่เชื่อมไว้ด้านล่าง หากเป็นระบบงานสำคัญ ให้สำรองข้อมูลและกำหนดเวลาทดสอบหลังแก้ไข
คำถามที่พบบ่อย
Drupal Core ทุกเว็บได้รับผลกระทบหรือไม่
ไม่ ช่องโหว่นี้อยู่ในโมดูล Commerce Core ที่ติดตั้งเพิ่ม
รุ่น 3.3.13 ยังมีช่องโหว่หรือไม่
ประกาศ Drupal ระบุ 3.3.13 เป็นรุ่นแก้ไขสำหรับสาย 3.x
อัปเดตแล้วต้องตรวจคำสั่งซื้อไหม
ควรตรวจ Drupal แนะนำให้ตรวจความผิดปกติของคำสั่งซื้อ เพราะพบการใช้ช่องโหว่โจมตีจริง
แหล่งข้อมูล
- Drupal Security Advisory SA-CONTRIB-2026-254 (เข้าถึง 31 ตุลาคม 2569)
- BleepingComputer, 30 October 2026 (เข้าถึง 31 ตุลาคม 2569)
