해커들이 드루팔 상거래 핵심 인증 우회 취약점을 적극적으로 이용

드루팔은 권고문에서 "이 모듈은 포함된 쇼핑 카트와 체크아웃 양식을 통해 고객에게 상품과 서비스를 판매할 수 있도록 해준다"고 말했다.

또한 "이 모듈은 특정 경로와 엔티티 필드를 충분히 보호하지 않아 액세스 우회가 발생하며, 이는 공급업체에 재정적 영향을 미칠 수 있다"고 덧붙였다.

오픈 소스 콘텐츠 관리 프레임워크는 해당 취약점이 "현장에서 적극적으로 이용되고 있다"고 인정했지만, 활동의 성격이나 캠페인의 범위에 대한 구체적인 정보는 제공하지 않았다.

사용자들은 최신 버전으로 업데이트할 것을 권장받고 있다.

드루팔은 이 취약점을 보고한 연구자 다니엘 푸체티, 마르쿠스 요한슨, 로버트 스나이더에게 공로를 인정했다.

이번 개발은 PHP에서 두 가지 치명적인 취약점(CVE-2026-109618 및 CVE-2026-109619, CVSS 점수: 9.2)이 현장에서 적극적으로 이용되고 있는 상황에서 발생했다.

10월 25일 기준으로 PHP2Shell로 인해 크게 영향을 받은 조직의 비율은 52.1%로 감소했다.