Tim keamanan Drupal memperingatkan bahwa celah di modul Commerce Core, CVE-2026-118539, sudah dieksploitasi di dunia nyata. Celah berjenis bypass akses ini menyerang situs toko online berbasis Drupal, dan advisorinya diberi tingkat risiko “highly critical” dengan skor 21 dari 25. Drupal belum merinci siapa penyerangnya atau seberapa luas serangannya.
Apa yang terjadi dan versi mana yang terdampak
Menurut advisori SA-CONTRIB-2026-254 bertanggal 28 Oktober 2026, Commerce Core tidak melindungi sebagian rute dan bidang entitas dengan memadai. Akibatnya, pihak yang tidak berhak bisa melewati pemeriksaan akses. Advisori menilai serangan tidak membutuhkan hak akses khusus, dan dampaknya mengenai kerahasiaan serta integritas data toko.
Versi yang terdampak adalah semua rilis di bawah 8.x-2.41, serta cabang 3.x dari 3.0.0 sampai sebelum 3.3.13. Dengan kata lain, situs di cabang 3.x perlu naik ke 3.3.13, sedangkan situs di cabang lama perlu naik ke 8.x-2.41. Celah ini dilaporkan oleh Dan Puccetti, Marcus Johansson, dan Robert Snyder.
Skor CVSS resmi belum dicantumkan di sumber yang kami baca. Drupal juga tidak menjelaskan teknik serangan yang dipakai, sehingga gambaran dampaknya masih terbatas pada pernyataan advisori bahwa eksploitasi sedang berlangsung.
Langkah yang perlu diambil pengelola situs
Perbarui Commerce Core ke versi yang sudah diperbaiki secepatnya, yaitu 3.3.13 untuk cabang 3.x atau 8.x-2.41 untuk rilis sebelumnya. Drupal tidak menyebut solusi sementara, jadi pembaruan adalah mitigasi resmi satu-satunya yang tercantum.
Advisori juga menyarankan pengelola mengaudit data pesanan untuk mencari ketidakkonsistenan. Karena eksploitasi sudah terjadi sebelum banyak situs sempat memperbarui, memasang patch saja belum cukup untuk memastikan situs bersih. Periksa pesanan yang statusnya, jumlahnya, atau datanya tidak sesuai, lalu tinjau log akses pada rute pesanan dan pelanggan.
Dampak bagi pembaca di Indonesia
Drupal Commerce dipakai sebagian pengembang untuk toko online dan layanan pemesanan. Jika Anda mengelola atau menitipkan situs seperti itu di agensi atau penyedia hosting, tanyakan versi Commerce Core yang terpasang hari ini. Pemilik toko yang tidak bisa memperbarui segera sebaiknya membatasi akses ke situs sambil menunggu pembaruan, dan menandai pesanan mencurigakan sebelum diproses atau dikirim.
Sumber: advisori resmi Drupal SA-CONTRIB-2026-254, The Hacker News, dan Security Affairs. Gambar: Security Affairs.