W październiku 2026 roku opublikowano kolejne ważne aktualizacje bezpieczeństwa dla popularnych systemów zarządzania treścią. Tym razem chodzi o Drupala oraz Magento Open Source, wykorzystywane między innymi do prowadzenia stron internetowych i sklepów online. W obu systemach wykryto krytyczne podatności umożliwiające wykonanie nieautoryzowanego kodu na serwerze. Producenci przygotowali już poprawki, dlatego administratorzy powinni sprawdzić aktualność swoich instalacji.
Korzystasz z Drupal lub Magento? Sprawdź wersję swojego oprogramowania i dostępność październikowych aktualizacji. Nie każda instalacja jest narażona w taki sam sposób, a Adobe nie potwierdziło aktywnego wykorzystywania nowych luk z październikowego pakietu. Warto jednak zainstalować poprawki bez zbędnej zwłoki.
Drupal – krytyczna luka w module Field UI
14 października 2026 roku zespół odpowiedzialny za bezpieczeństwo Drupala opublikował komunikat SA-CORE-2026-014 dotyczący podatności CVE-2026-108097. Problem znajduje się w module Field UI, będącym częścią rdzenia systemu.
Podatność umożliwia zdalne wykonanie kodu (RCE). Jej wykorzystanie wymaga jednak określonych warunków, związanych między innymi z obecnością dodatkowych modułów lub własnych modyfikacji kodu. Producent potwierdził, że przynajmniej jeden znany scenariusz ataku nie wymaga wcześniejszego zalogowania.
Które wersje Drupala wymagają aktualizacji?
- Drupal 10.6.x – zaktualizuj do wersji 10.6.19 lub nowszej.
- Drupal 11.3.x – zaktualizuj do wersji 11.3.19 lub nowszej.
- Drupal 11.4.x – zaktualizuj do wersji 11.4.10 lub nowszej.
Starsze gałęzie Drupala, które zakończyły okres wsparcia bezpieczeństwa, wymagają przejścia na wspieraną wersję systemu. Jeżeli nie możesz od razu przeprowadzić aktualizacji, producent wskazuje możliwość odinstalowania modułu Field UI jako rozwiązanie tymczasowe. Przed wykonaniem tej czynności sprawdź jednak zależności i wpływ zmiany na funkcjonowanie witryny.
Pełne informacje znajdziesz w oficjalnym komunikacie bezpieczeństwa Drupal SA-CORE-2026-014.
Magento Open Source – kolejne krytyczne podatności
13 października 2026 roku Adobe opublikowało aktualizację APSB26-153, obejmującą Magento Open Source oraz Adobe Commerce. Nowy pakiet usuwa 11 podatności o różnym stopniu zagrożenia, w tym błędy pozwalające na wykonanie kodu, eskalację uprawnień oraz obejście mechanizmów bezpieczeństwa.
Jedną z najpoważniejszych luk jest CVE-2026-103849, oceniona na 10.0/10 w skali CVSS. Dotyczy ona nieprawidłowego przetwarzania danych w mechanizmie szablonów i pozwala na wykonanie kodu bez wcześniejszego uwierzytelnienia.
Druga krytyczna podatność, CVE-2026-92909 (CVSS 9.8), dotyczy komponentu B2B w Adobe Commerce. Nie należy jej utożsamiać z podatnością występującą we wszystkich instalacjach Magento Open Source.
Kto powinien zainstalować aktualizację? Administratorzy Magento Open Source korzystający z wersji 2.4.6–2.4.9 bez październikowych poprawek bezpieczeństwa. Adobe udostępniło poprawione wydania 2.4.7-2026-oct, 2.4.8-2026-oct oraz 2.4.9-2026-oct. Użytkownicy starszych wersji powinni zaplanować przejście na wspieraną gałąź systemu.
Ważne dla administratorów Magento! Październikowa poprawka APSB26-153 nie zawiera wcześniejszego hotfiksu usuwającego CVE-2026-75650. Jeżeli aktualizowałeś sklep po wrześniowym komunikacie Adobe, sprawdź, czy obie poprawki zostały prawidłowo zastosowane. Szczegóły wrześniowej podatności opisaliśmy w artykule Krytyczne luki WordPress, WooCommerce i Magento – alert bezpieczeństwa.
Informacje o podatnych wersjach i poprawkach znajdziesz w komunikacie Adobe APSB26-153. Instrukcje instalacji i weryfikacji poprawek udostępniono również w dokumentacji Adobe Commerce.
Co zrobić, jeśli korzystasz z Drupal lub Magento?
Jeżeli zarządzasz stroną lub sklepem opartym na jednym z tych systemów, zacznij od sprawdzenia jego wersji. Nie musisz podejmować skomplikowanych działań, jeśli Twoja instalacja zawiera już odpowiednie poprawki bezpieczeństwa.
- Sprawdź wersję CMS-a i porównaj ją z informacjami producenta.
- Wykonaj kopię zapasową plików oraz bazy danych przed wprowadzeniem zmian.
- Zainstaluj odpowiednie poprawki. W przypadku rozbudowanych sklepów Magento przetestuj aktualizację na środowisku testowym.
- Sprawdź działanie strony po aktualizacji – zwłaszcza logowanie, formularze, koszyk, zamówienia i integracje zewnętrzne.
Twoja instalacja jest aktualna? Jeśli korzystasz z wersji zawierającej wszystkie wymagane poprawki, nie musisz ponownie instalować tych samych aktualizacji. Pamiętaj jednak o regularnym sprawdzaniu komunikatów producenta i utrzymywaniu aktualnych kopii zapasowych.
Kopie zapasowe i bezpieczeństwo strony w SEOHOST
Przed aktualizacją CMS-a warto upewnić się, że dysponujesz kopią plików i bazy danych oraz wiesz, jak ją przywrócić. Jeśli korzystasz z hostingu SEOHOST, pomocne będą nasze instrukcje:
- Jak wykonać kopię zapasową w DirectAdmin?
- Jak przywrócić kopię zapasową na koncie hostingowym?
- Monarx Security – jak działa ochrona przed malware?
Postaw na hosting SEOHOST z dodatkową ochroną Monarx Security. Nasza infrastruktura wykorzystuje wydajne dyski NVMe, LiteSpeed oraz rozwiązania zwiększające bezpieczeństwo stron internetowych. Monarx Security pomaga wykrywać złośliwe oprogramowanie i blokować rozpoznane próby ataków na aplikacje PHP. Nie zastępuje aktualizacji CMS-a, ale stanowi dodatkową warstwę ochrony. Jeśli nie jesteś jeszcze naszym klientem, sprawdź ofertę hostingu SEOHOST oraz możliwość bezpłatnej migracji strony internetowej.
Komentarze