Tim keamanan Drupal menyatakan celah akses di modul Commerce Core, yang dipakai banyak situs toko online berbasis Drupal, sudah dieksploitasi penyerang. Advisori bernomor SA-CONTRIB-2026-254 terbit pada 28 Oktober 2026 dan memuat CVE-2026-118539. Drupal menilainya “Highly critical” dengan skor 21 dari 25 pada skala risiko milik Drupal sendiri, bukan skor CVSS.
Apa yang diketahui tentang celahnya
Menurut advisori, Commerce Core tidak melindungi sejumlah rute dan kolom entitas dengan memadai. Akibatnya, penyerang bisa melewati pemeriksaan akses. Drupal menulis bahwa celah ini “dapat berdampak finansial bagi penjual”, tetapi advisori tidak merinci cara kerjanya. Skalanya mencakup semua konfigurasi situs, tidak butuh login, dan sudah ditandai berstatus “Exploit”.
Versi yang terdampak adalah Commerce Core sebelum 8.x-2.41, serta seri 3.x dari 3.0.0 sampai sebelum 3.3.13. SecurityOnline.info mencatat modul ini dilaporkan dipakai sekitar 42.000 situs di Drupal.org. Dan Puccetti, Marcus Johansson, dan Robert Snyder tercatat sebagai pelapor. Advisori tidak menyebut siapa pelaku eksploitasi, berapa situs yang sudah kena, atau kerugian yang terjadi.
Langkah yang perlu diambil pengelola toko
Drupal menyediakan perbaikan di dua jalur. Pengguna seri 3.x perlu naik ke Commerce Core 3.3.13, sedangkan pengguna seri lama perlu memakai 8.x-2.41. Karena advisori menyebut eksploitasi sudah berlangsung, pembaruan sebaiknya tidak menunggu jadwal rilis rutin.
Setelah memperbarui, Drupal meminta pengelola memeriksa data pesanan untuk mencari ketidakwajaran. Cek harga, total, dan status pesanan yang berubah tanpa sebab jelas, terutama pada pesanan yang masuk dalam beberapa hari terakhir. Tim keamanan juga perlu mencocokkan catatan pesanan dengan data dari penyedia pembayaran. Advisori tidak memuat solusi sementara selain pembaruan, jadi situs yang belum bisa naik versi sebaiknya segera dibahas dengan tim pengembangnya.
Mengapa ini relevan bagi pembaca Indonesia
Toko online yang dibangun di atas Drupal Commerce menyimpan data pesanan dan pelanggan, sehingga celah akses di lapisan ini langsung menyentuh uang dan data. Pekan ini kami juga melaporkan bahwa CISA memasukkan celah PolyShell di Adobe Commerce dan Magento ke daftar KEV, dan Sansec mencatat ratusan toko online sudah dibobol. Dua kasus itu menunjukkan penyerang sedang aktif memburu platform e-commerce. Pemilik toko yang memakai Drupal sebaiknya mengecek versi Commerce Core hari ini dan membaca advisori resminya.
Sumber: advisori Drupal SA-CONTRIB-2026-254 dan SecurityOnline.info. Gambar: SecurityOnline.info.