Drupal ยืนยันว่า CVE-2026-118539 ในโมดูล Commerce Core ถูกใช้โจมตีจริง ช่องโหว่เกิดจากการตรวจสิทธิ์ไม่เพียงพอในบางเส้นทางและฟิลด์ข้อมูล ซึ่งอาจทำให้ผู้ประกอบการร้านค้าเสียหายทางการเงิน ผู้ใช้ควรอัปเดตพร้อมตรวจคำสั่งซื้อย้อนหลัง ไม่จบงานเพียงติดตั้งแพตช์ [1]
ข้อเท็จจริงและรุ่นที่ต้องตรวจ
ประกาศผู้ผลิตวันที่ 28 ตุลาคม 2569 จัดระดับ Highly critical ที่ 21/25 ตามมาตราส่วนของ Drupal ซึ่งไม่ใช่คะแนน CVSS ระบุว่าไม่ต้องยืนยันตัวตนและกระทบทุกการตั้งค่าของรุ่นที่มีช่องโหว่ [1]
| รุ่นที่กระทบ | รุ่นแก้ไข |
|---|---|
| Commerce Core ต่ำกว่า 2.41 | 8.x-2.41 |
| Commerce Core ตั้งแต่ 3.0.0 แต่ต่ำกว่า 3.3.13 | 3.3.13 |
ผู้ผลิตแนะนำให้ตรวจคำสั่งซื้อที่ไม่สอดคล้องกัน ยังไม่เปิดเผยรายละเอียดวิธีโจมตีหรือจำนวนร้านค้าที่เสียหาย จึงไม่ควรสรุปว่าเหตุนี้เท่ากับการยึดเครื่องทั้งระบบ หรือว่าร้านค้าทุกรายถูกบุกรุกแล้ว [1][2]
มุมมอง ALPHASEC: สิ่งที่องค์กรไทยควรทำ
- ระบุระบบที่ใช้จริง: ตรวจโมดูล Commerce Core ทั้งหน้าร้านและระบบที่ขายผ่าน API รวมถึงผู้รับจ้างที่ดูแลเว็บไซต์
- แพตช์และทดสอบธุรกรรม: สำรองข้อมูลก่อนเปลี่ยนรุ่น แล้วทดสอบตะกร้า ชำระเงิน และการเชื่อมต่อระบบหลังบ้าน
- ให้ฝ่าย IT และการเงินตรวจร่วมกัน: กระทบยอดคำสั่งซื้อ ยอดรับชำระ ส่วนลด และการคืนเงินกับหลักฐานจากผู้ให้บริการชำระเงิน อย่าพึ่งสถานะในร้านค้าเพียงจุดเดียว
- เก็บหลักฐาน: รักษาบันทึกเว็บ แอปพลิเคชัน และธุรกรรม หากพบรายการผิดปกติให้ประเมินขอบเขตและเริ่มกระบวนการตอบสนองเหตุ
รายการตรวจข้างต้นเป็นข้อเสนอควบคุมความเสี่ยงของ ALPHASEC ไม่ใช่การระบุว่าฟิลด์เหล่านี้ถูกแก้ไขในเหตุโจมตีที่ผู้ผลิตพบ
แหล่งอ้างอิง
ตรวจแหล่งต้นฉบับและข่าวฉบับเต็ม 1 พฤศจิกายน 2569 เวลา 18:03 น. ไทย