Peretas Secara Aktif Mengeksploitasi Celah Bypass Otorisasi Drupal Commerce Core yang Sangat Kritis

rectangular brown wooden table with chair lot inside building — Benjamin Child / Unsplash

Drupal telah memperingatkan bahwa aktor ancaman sedang mengeksploitasi celah keamanan yang "sangat kritis" dalam komponen Commerce Core-nya. Kerentanan ini, yang dilacak sebagai CVE-2026-118539, adalah kasus otorisasi yang hilang yang mempengaruhi versi Commerce Core dari 0.0.0 hingga 2.41 dan dari 3.0.0 hingga 3.3.13.

"Modul ini memungkinkan Anda untuk menjual barang dan jasa kepada pelanggan melalui keranjang belanja dan formulir checkout yang disertakan atau melalui aplikasi yang terpisah melalui API," kata Drupal dalam sebuah pengumuman. "Modul ini tidak cukup melindungi rute tertentu dan bidang entitas, yang mengakibatkan bypass akses yang dapat berdampak finansial pada vendor."

Kerangka kerja manajemen konten sumber terbuka ini mengakui bahwa kerentanan tersebut sedang "secara aktif dieksploitasi di lapangan," tetapi tidak memberikan rincian tentang sifat aktivitas tersebut atau sejauh mana kampanye ini.

Pengguna disarankan untuk memperbarui ke versi terbaru. Drupal telah memberikan kredit kepada peneliti Dan Puccetti, Marcus Johansson, dan Robert Snyder karena melaporkan celah ini.

Perkembangan ini terjadi bersamaan dengan dua kerentanan kritis dalam PHP, yang dilacak sebagai CVE-2026-109618 dan CVE-2026-109619, yang secara kolektif disebut sebagai PHP2Shell, yang juga menyaksikan upaya eksploitasi aktif di lapangan. Hingga 25 Oktober, persentase organisasi yang terpengaruh secara signifikan oleh PHP2Shell telah menurun menjadi 52,1%, menurut data dari Wiz.