Drupal Peringatkan Celah Kritis CVE-2026-118539 pada Commerce Core, Hacker Sudah Mulai Eksploitasi
Drupal mengeluarkan peringatan keamanan mendesak setelah menemukan kerentanan kritis pada modul Commerce Core yang telah dieksploitasi secara aktif oleh pelaku ancaman siber.
Kerentanan yang dilacak sebagai CVE-2026-118539 tersebut memungkinkan penyerang tanpa autentikasi melewati mekanisme pembatasan akses pada website e-commerce berbasis Drupal.
Dalam security advisory yang diterbitkan pada 28 Oktober 2026, Drupal Security Team memberikan klasifikasi Highly Critical dengan skor risiko 21 dari 25.
Celah tersebut berpotensi menimbulkan kerugian finansial bagi pemilik toko online karena memungkinkan akses tidak sah terhadap fungsi dan informasi tertentu dalam modul Commerce Core.
Drupal meminta seluruh administrator yang menggunakan versi terdampak untuk segera melakukan pembaruan sekaligus memeriksa riwayat transaksi guna menemukan kemungkinan aktivitas mencurigakan.
CVE-2026-118539 Berasal dari Kelemahan Authorization
Commerce Core merupakan modul e-commerce populer yang digunakan untuk membangun toko online menggunakan Drupal Content Management System (CMS).
Modul ini menyediakan berbagai fungsi perdagangan, termasuk pengelolaan produk, keranjang belanja, checkout, pembayaran, dan manajemen pesanan.
Selain digunakan pada website e-commerce konvensional, Commerce Core juga mendukung aplikasi yang menggunakan API untuk menjalankan transaksi melalui sistem terpisah.
Menurut Drupal Security Team, CVE-2026-118539 muncul karena modul tidak menerapkan pemeriksaan authorization secara memadai pada sejumlah route dan entity field.
Kelemahan tersebut memungkinkan penyerang mengakses fungsi tertentu yang seharusnya dilindungi oleh mekanisme hak akses.
Masalah ini dikenal sebagai access bypass dan termasuk dalam kategori Missing Authorization atau CWE-862.
Dalam kondisi normal, aplikasi seharusnya memeriksa apakah pengguna memiliki izin yang diperlukan sebelum memberikan akses terhadap fungsi atau data tertentu.
Namun, ketika pemeriksaan tersebut tidak berjalan dengan benar, penyerang dapat mencoba mengakses endpoint atau informasi tanpa memenuhi persyaratan autentikasi.
Drupal memperingatkan bahwa kelemahan ini berpotensi memberikan dampak finansial terhadap pemilik toko.
Meski demikian, advisory resmi belum menjelaskan secara terperinci teknik eksploitasi maupun jenis manipulasi transaksi yang dapat dilakukan penyerang.
Lebih dari 42.000 Website Menggunakan Commerce Core
Berdasarkan statistik proyek Drupal, Commerce Core digunakan oleh sekitar 42.000 website yang melaporkan penggunaan modul tersebut.
Penggunanya mencakup berbagai organisasi, mulai dari toko online, perusahaan besar, hingga institusi pendidikan.
Karena digunakan untuk memproses transaksi dan informasi pelanggan, kerentanan pada Commerce Core dapat menimbulkan risiko terhadap operasional bisnis.
Namun, jumlah 42.000 website tersebut tidak berarti semuanya rentan terhadap CVE-2026-118539.
Dampak aktual bergantung pada versi Commerce Core yang digunakan serta status pembaruan keamanan masing-masing website.
Drupal menegaskan bahwa kerentanan ini ditemukan pada modul Commerce Core, bukan berarti seluruh instalasi Drupal secara otomatis terdampak.
Website Drupal yang tidak menggunakan modul tersebut tidak termasuk dalam cakupan kerentanan ini.
Versi Commerce Core yang Terdampak dan Sudah Diperbaiki
Drupal telah menyediakan pembaruan keamanan untuk dua cabang utama Commerce Core.
Berikut rincian versi yang terdampak dan versi perbaikannya.
| Cabang Commerce Core | Versi Rentan | Versi Aman |
|---|---|---|
| Commerce Core 2.x | Sebelum 8.x-2.41 | 8.x-2.41 |
| Commerce Core 3.x | 3.0.0 hingga sebelum 3.3.13 | 3.3.13 |
Administrator yang menggunakan Commerce Core 3.x disarankan segera melakukan upgrade ke versi 3.3.13 atau versi lebih baru yang menyertakan perbaikan.
Sementara itu, pengguna cabang 2.x perlu memperbarui modul ke versi 8.x-2.41.
Kedua versi perbaikan tersebut dirilis pada 28 Oktober 2026 bersamaan dengan pengumuman kerentanan.
Drupal mengingatkan bahwa patch sebaiknya segera dipasang karena eksploitasi aktif telah dikonfirmasi.
Drupal Konfirmasi Hacker Sudah Mengeksploitasi Celah
Hal yang membuat CVE-2026-118539 mendapat perhatian khusus adalah status eksploitasi yang telah dikonfirmasi oleh Drupal Security Team.
Dalam advisory SA-CONTRIB-2026-254, Drupal menyatakan bahwa kerentanan tersebut telah digunakan dalam serangan nyata.
Artinya, risiko tidak lagi terbatas pada kemungkinan eksploitasi secara teoritis.
Meski demikian, Drupal belum mengungkap jumlah website yang berhasil dikompromikan, identitas kelompok penyerang, maupun detail teknis serangan yang sedang berlangsung.
Belum ada pula informasi resmi mengenai besarnya kerugian finansial yang diakibatkan eksploitasi tersebut.
Karena itu, administrator disarankan tidak hanya memasang patch, tetapi juga melakukan pemeriksaan terhadap aktivitas toko online sebelumnya.
Hal ini penting karena pembaruan software tidak secara otomatis memperbaiki transaksi atau data yang mungkin telah dimanipulasi sebelum kerentanan ditutup.
Administrator Diminta Memeriksa Riwayat Pesanan
Selain menerapkan pembaruan, Drupal secara khusus meminta pengelola website Commerce Core untuk melakukan audit terhadap pesanan.
Pemeriksaan tersebut bertujuan menemukan kemungkinan ketidaksesuaian pada data transaksi yang dapat mengindikasikan penyalahgunaan kerentanan.
Beberapa hal yang dapat diperiksa antara lain:
- Pesanan yang ditandai lunas tetapi tidak memiliki catatan pembayaran yang sesuai.
- Perubahan harga, diskon, atau nilai total transaksi yang tidak wajar.
- Status pesanan yang berubah tanpa aktivitas administratif yang diketahui.
- Ketidaksesuaian antara catatan pesanan Drupal dan laporan payment gateway.
- Perubahan informasi pelanggan atau data pesanan yang tidak dapat dijelaskan.
Pemeriksaan tersebut merupakan langkah audit pencegahan, bukan bukti bahwa seluruh jenis manipulasi tersebut telah dilakukan dalam serangan CVE-2026-118539.
Administrator juga perlu memeriksa log aplikasi dan aktivitas akun dengan hak akses tinggi apabila ditemukan indikasi transaksi mencurigakan.
Untuk website yang menggunakan integrasi pembayaran pihak ketiga, pencocokan data transaksi dengan catatan dari penyedia pembayaran dapat membantu menemukan perbedaan.
Cara Memperbarui Drupal Commerce Core
Bagi administrator yang mengelola Drupal menggunakan Composer, pembaruan dapat dilakukan sesuai cabang Commerce Core yang digunakan.
Untuk Commerce Core 3.x:
composer require 'drupal/commerce:^3.3' --update-with-all-dependenciesSedangkan untuk Commerce Core 2.x:
composer require 'drupal/commerce:^2.41' --update-with-all-dependenciesPerintah tersebut perlu dijalankan pada direktori proyek Drupal yang sesuai.
Sebelum pembaruan, administrator disarankan membuat backup database dan file website, kemudian menguji kompatibilitas dependency.
Setelah paket diperbarui, jalankan proses database update jika diperlukan dan lakukan cache rebuild sesuai prosedur deployment Drupal.
Administrator juga perlu memastikan bahwa versi yang terpasang benar-benar telah mencapai rilis perbaikan yang direkomendasikan.
Apabila website telah menunjukkan indikasi kompromi, investigasi keamanan sebaiknya dilakukan sebelum dan sesudah pembaruan untuk memastikan tidak ada perubahan data atau aktivitas berbahaya yang tertinggal.
Kerentanan E-Commerce Perlu Ditangani Secepatnya
CVE-2026-118539 menjadi pengingat bahwa kerentanan access bypass tidak selalu harus memberikan kemampuan Remote Code Execution untuk menimbulkan dampak serius.
Pada aplikasi e-commerce, akses tidak sah terhadap fungsi atau data tertentu dapat berpengaruh langsung terhadap integritas transaksi dan operasional bisnis.
Terlebih lagi, Commerce Core digunakan oleh puluhan ribu website dan menyediakan berbagai mekanisme yang berkaitan dengan transaksi pelanggan.
Dengan adanya konfirmasi eksploitasi aktif, administrator Drupal perlu memprioritaskan pembaruan ke Commerce Core 3.3.13 atau 8.x-2.41 sesuai versi yang digunakan.
Pemasangan patch dan audit riwayat pesanan menjadi dua langkah terpenting untuk mengurangi risiko serta mengidentifikasi kemungkinan penyalahgunaan CVE-2026-118539 pada toko online berbasis Drupal.
Sumber: Drupal Security Team — Commerce Core – Highly Critical – Access Bypass – SA-CONTRIB-2026-254
