Lỗ hổng nghiêm trọng CVE-2026-118539 trong Drupal Commerce đe dọa tài chính

• Mối đe dọa: Lỗ hổng bảo mật nghiêm trọng trong module Commerce Core của Drupal đang bị khai thác tích cực trong thực tế.
• Cơ chế lỗi: Lỗi vượt qua kiểm soát truy cập (Broken Access Control) cho phép kẻ tấn công can thiệp vào các thực thể dữ liệu và quy trình thanh toán.
• Phạm vi ảnh hưởng: Tất cả các phiên bản Commerce Core trước 2.41 và từ 3.0.0 đến 3.3.12 đều nằm trong diện rủi ro cao.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lập tức lên phiên bản 2.41 hoặc 3.3.13 và thực hiện kiểm toán dữ liệu đơn hàng.

Các chuyên gia an ninh mạng vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng được định danh là CVE-2026-118539, ảnh hưởng trực tiếp đến module Commerce Core trên nền tảng Drupal. Lỗ hổng này cho phép kẻ tấn công vượt qua các cơ chế kiểm soát truy cập (access control bypass), tạo điều kiện cho việc thao túng dữ liệu cửa hàng và các giao dịch tài chính mà không cần xác thực.

Phân tích kỹ thuật về lỗ hổng CVE-2026-118539

Theo báo cáo từ các nhà nghiên cứu bảo mật, lỗ hổng này xuất phát từ việc thiếu kiểm soát tính hợp lệ đối với các tuyến đường (routes) và các trường thực thể (entity fields) trong module Commerce Core. Trong kiến trúc của Drupal, các tuyến đường đóng vai trò điều phối yêu cầu đến các chức năng cụ thể của website, trong khi các trường thực thể lưu trữ dữ liệu liên quan đến bản ghi của hệ thống.

Việc thiếu các kiểm tra quyền hạn (access checks) tại các điểm cuối này cho phép kẻ tấn công truy cập vào các hàm chức năng hoặc dữ liệu mà lẽ ra chúng không có quyền điều khiển. Mặc dù các báo cáo ban đầu đề cập đến khả năng mua sản phẩm với giá cực thấp, Drupal hiện chưa xác nhận chính xác kịch bản này, nhưng khẳng định rằng lỗ hổng đang bị khai thác tích cực để gây ra các tổn thất tài chính cho doanh nghiệp.

Đánh giá mức độ nghiêm trọng

Drupal đã gán cho lỗ hổng này thang điểm rủi ro 21/25, xếp vào nhóm Highly critical. Các đặc điểm kỹ thuật của lỗ hổng bao gồm:

• Không yêu cầu xác thực: Kẻ tấn công có thể thực hiện khai thác từ xa mà không cần tài khoản người dùng hợp lệ.
• Phạm vi ảnh hưởng rộng: Lỗ hổng tác động đến tất cả các cấu hình của các phiên bản module bị ảnh hưởng.
• Tác động dữ liệu: Có khả năng làm lộ thông tin cá nhân và thay đổi trái phép dữ liệu giao dịch trên hệ thống.

Dưới đây là bảng tổng hợp các thông tin kỹ thuật chính liên quan đến lỗ hổng:

Hướng dẫn phòng thủ và khắc phục

Để bảo vệ hệ thống trước các cuộc tấn công dựa trên CVE-2026-118539, quản trị viên cần thực hiện các bước hardening và cập nhật phần mềm ngay lập tức. Việc chỉ cập nhật Drupal core là không đủ, vì đây là lỗ hổng nằm trong module Commerce Core.

⚠️ Cảnh báo quan trọng: Quản trị viên cần thực hiện kiểm toán (audit) toàn bộ các đơn hàng trong thời gian gần đây để phát hiện các điểm bất thường. Hãy so sánh dữ liệu đơn hàng đã ghi nhận với giá niêm yết thực tế và hồ sơ thanh toán để xác định xem hệ thống đã bị xâm nhập hay chưa.

Các bước thực hiện khắc phục bao gồm:

• Cập nhật module: Đối với các trang web đang chạy nhánh 3.x, hãy nâng cấp lên phiên bản Commerce Core 3.3.13. Đối với các trang web sử dụng phiên bản cũ hơn, hãy nâng cấp lên 8.x-2.41.
• Kiểm toán dữ liệu: Rà soát lại các log giao dịch để tìm kiếm các thay đổi bất thường trong giá sản phẩm hoặc thông tin đơn hàng.
• Giám sát truy cập: Tăng cường giám sát các yêu cầu HTTP gửi đến các tuyến đường (routes) liên quan đến module Commerce để phát hiện các hành vi truy cập trái phép.

Việc thực hiện các biện pháp phòng thủ chủ động, bao gồm việc áp dụng bản vá bảo mật kịp thời và giám sát chặt chẽ các giao dịch, là chìa khóa để giảm thiểu rủi ro từ các cuộc tấn công khai thác lỗ hổng này. Để biết thêm thông tin chi tiết về các bản vá, quản trị viên có thể tham khảo thêm tại Drupal Security Advisory.