Khai thác lỗ hổng nghiêm trọng Drupal Commerce Core: cho phép truy cập trái phép
"Drupal Commerce Core is affected by an authorization bypass vulnerability (CVE-2026-118539) in versions 0.0.0 to 2.41 and 3.0.0 to 3.3.13. This flaw allows unauthorized access to routes and entity fields, potentially causing financial impact. Updating to Commerce Core 3.3.13 or 8.x-2.41 is recommended."
Lỗ hổng CVE-2026-118539 cho phép truy cập trái phép, có thể dẫn đến mất dữ liệu và thiệt hại tài chính. Việc khai thác đang diễn ra cho thấy mức độ nghiêm trọng cao.
Các doanh nghiệp sử dụng Drupal Commerce Core có thể gặp rủi ro về doanh thu và uy tín nếu bị tấn công. Việc cập nhật là cần thiết để bảo vệ hệ thống thương mại điện tử.
Drupal cảnh báo các đối tượng tấn công đang khai thác lỗ hổng bảo mật nghiêm trọng trong thành phần Commerce Core. Lỗ hổng CVE-2026-118539 ảnh hưởng đến các phiên bản Commerce Core từ 0.0.0 đến 2.41 và từ 3.0.0 đến 3.3.13.
Drupal mô tả Commerce Core là module cho phép bán hàng hóa và dịch vụ thông qua giỏ hàng và biểu mẫu thanh toán, hoặc thông qua API. Lỗ hổng này không bảo vệ đủ các tuyến đường (routes) và trường thực thể (entity fields), dẫn đến việc bỏ qua quyền truy cập có thể gây thiệt hại tài chính cho người bán.
Hiện tại, lỗ hổng này đang bị khai thác, nhưng Drupal chưa công bố chi tiết về hoạt động hay phạm vi tấn công. Người dùng nên cập nhật lên phiên bản mới nhất: Commerce Core 3.3.13 cho phiên bản 3.x, hoặc Commerce Core 8.x-2.41 cho các phiên bản cũ hơn. Các nhà nghiên cứu Dan Puccetti, Marcus Johansson và Robert Snyder được ghi nhận đã báo cáo lỗ hổng này.
Đáng chú ý, hai lỗ hổng nghiêm trọng khác trong PHP (CVE-2026-109618 và CVE-2026-109619, còn gọi là PHP2Shell) cũng đang bị khai thác. Đến ngày 25 tháng 10, khoảng 52.1% tổ chức bị ảnh hưởng đáng kể bởi PHP2Shell, theo dữ liệu từ Wiz.
Câu hỏi thường gặp
CVE-2026-118539 là gì?
CVE-2026-118539 là một lỗ hổng bảo mật cho phép truy cập trái phép vào các tuyến đường và trường thực thể trong Drupal Commerce Core. Lỗ hổng này có thể gây thiệt hại tài chính cho người bán.
Phiên bản Drupal Commerce Core nào bị ảnh hưởng?
Các phiên bản từ 0.0.0 đến 2.41 và từ 3.0.0 đến 3.3.13 đều bị ảnh hưởng bởi lỗ hổng này.
Cách khắc phục lỗ hổng này là gì?
Người dùng nên cập nhật lên Commerce Core 3.3.13 (cho phiên bản 3.x) hoặc Commerce Core 8.x-2.41 (cho các phiên bản cũ hơn).
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng Drupal Commerce Core cần ưu tiên cập nhật ngay lập tức để tránh rủi ro mất tiền do truy cập trái phép. Điều đáng chú ý là lỗ hổng này đang bị khai thác tích cực, cho thấy mức độ nguy hiểm cao. Các nhà phát triển nên kiểm tra và cập nhật các module và theme tùy chỉnh để đảm bảo tương thích với phiên bản Commerce Core mới nhất.