Cảnh báo: Lỗ hổng nghiêm trọng trên Drupal Commerce Core đang bị khai thác thực tế

Đội ngũ phát triển Drupal vừa phát đi cảnh báo về một lỗ hổng bảo mật được đánh giá ở mức “rất nghiêm trọng” trong thành phần Commerce Core. Lỗ hổng này đang bị các đối tượng tấn công khai thác tích cực trong thực tế.

Lỗ hổng, được định danh là CVE-2026-118539, liên quan đến vấn đề thiếu kiểm soát quyền truy cập (missing authorization). Lỗ hổng này ảnh hưởng đến các phiên bản Commerce Core từ 0.0.0 đến 2.41 và từ 3.0.0 đến 3.3.13.

Theo thông tin từ Drupal, module Commerce Core cho phép doanh nghiệp bán hàng hóa và dịch vụ thông qua giỏ hàng, biểu mẫu thanh toán hoặc các ứng dụng decoupled thông qua API. Tuy nhiên, do cơ chế bảo vệ các route và entity field không đủ chặt chẽ, kẻ tấn công có thể thực hiện hành vi bypass quyền truy cập, dẫn đến những rủi ro nghiêm trọng về tài chính cho đơn vị vận hành.

Mặc dù Drupal xác nhận lỗ hổng đang bị khai thác ngoài thực tế (in the wild), nhưng họ chưa công bố chi tiết về quy mô hay phương thức tấn công cụ thể. Để bảo vệ hệ thống, người dùng được khuyến nghị cập nhật ngay lập tức lên các phiên bản mới nhất:

• Đối với nhánh 3.x: Nâng cấp lên Commerce Core 3.3.13
• Đối với các phiên bản cũ hơn: Nâng cấp lên Commerce Core 8.x-2.41

Lỗ hổng này được phát hiện và báo cáo bởi các chuyên gia bảo mật Dan Puccetti, Marcus Johansson và Robert Snyder.

Trong một diễn biến liên quan, cộng đồng an ninh mạng cũng đang theo dõi sát sao hai lỗ hổng nghiêm trọng khác trong PHP, được gọi chung là PHP2Shell (CVE-2026-109618 và CVE-2026-109619). Các chuyên gia từ Wiz cho biết, dù tỷ lệ tổ chức bị ảnh hưởng bởi PHP2Shell đã giảm xuống còn 52,1%, nhưng các nỗ lực khai thác vẫn đang diễn ra thông qua việc sử dụng các công cụ PoC công khai hoặc các kỹ thuật tấn công kết hợp như session poisoning và local file inclusion (LFI).

Nguồn tham khảo: The Hacker News