Drupal memperingatkan adanya eksploitasi aktif terhadap kerentanan keamanan kritis pada Commerce Core. Celah yang diidentifikasi sebagai CVE-2026-118539 ini memungkinkan penyerang melewati mekanisme otorisasi pada aplikasi e-commerce. Administrator situs diminta segera memperbarui komponen yang terdampak untuk mencegah penyalahgunaan akses.
Mengenal CVE-2026-118539
Drupal Commerce Core dilaporkan memiliki kerentanan keamanan yang berkaitan dengan mekanisme otorisasi atau authorization.
Kerentanan ini dikenal sebagai CVE-2026-118539 dan termasuk jenis Missing Authorization. Masalah tersebut terjadi ketika aplikasi tidak melakukan pemeriksaan izin secara memadai sebelum mengizinkan pengguna mengakses fungsi atau sumber daya tertentu.
Dalam kondisi tertentu, penyerang dapat mencoba mengakses fungsi yang seharusnya hanya tersedia bagi pengguna dengan hak akses tertentu.
Drupal mengonfirmasi bahwa kerentanan ini telah dieksploitasi di dunia nyata. Kondisi tersebut membuat celah ini menjadi perhatian serius, terutama bagi pemilik situs e-commerce yang menggunakan Commerce Core.
Apa Itu Drupal Commerce Core?
Drupal merupakan Content Management System (CMS) open-source yang digunakan untuk membangun berbagai jenis situs web, mulai dari portal berita hingga aplikasi bisnis.
Sementara itu, Drupal Commerce Core adalah komponen yang menambahkan fitur e-commerce pada Drupal.
Dengan menggunakan Commerce Core, pengembang dapat membangun toko online yang memiliki berbagai fungsi, seperti:
Katalog dan pengelolaan produk.
Shopping cart atau keranjang belanja.
Proses checkout.
Pengelolaan pesanan.
Integrasi pembayaran dan layanan lainnya.
Karena menangani berbagai fungsi penting dalam transaksi, keamanan Commerce Core menjadi bagian penting dalam melindungi operasional toko online.
Untuk memahami kerentanan ini, kita perlu membedakan dua mekanisme keamanan yang sering digunakan dalam aplikasi web, yaitu authentication dan authorization.
Authentication: Memastikan Identitas Pengguna
Authentication adalah proses untuk memastikan identitas seseorang yang mengakses aplikasi.
Contohnya, ketika pengguna memasukkan username dan password untuk masuk ke dashboard toko online, aplikasi akan memeriksa apakah informasi tersebut benar.
Jika berhasil, pengguna dianggap telah terautentikasi.
Authorization: Menentukan Hak Akses Pengguna
Authorization merupakan proses untuk menentukan tindakan apa saja yang boleh dilakukan oleh pengguna yang telah masuk ke aplikasi.
Sebagai contoh, pengguna biasa mungkin hanya diperbolehkan melihat produk dan melakukan pembelian.
Sementara itu, administrator memiliki hak untuk menambahkan produk, mengubah harga, dan mengelola pesanan.
Missing Authorization: Ketika Pemeriksaan Izin Tidak Berjalan
Kerentanan Missing Authorization terjadi ketika aplikasi gagal memeriksa apakah pengguna memiliki izin yang diperlukan untuk melakukan suatu tindakan.
Sebagai ilustrasi sederhana, sebuah aplikasi memiliki fungsi untuk mengubah informasi pesanan.
Fungsi tersebut seharusnya hanya dapat digunakan oleh pengguna dengan hak akses tertentu. Namun, jika aplikasi tidak melakukan pemeriksaan izin dengan benar, pengguna lain mungkin dapat mencoba menjalankan fungsi tersebut.
Kondisi inilah yang dapat membuka peluang terjadinya authorization bypass.
Pada CVE-2026-118539, masalah ditemukan pada sejumlah route dan entity field di Drupal Commerce Core.
Namun, dampak aktual dari kerentanan ini bergantung pada fungsi yang berhasil diakses dan konfigurasi situs yang digunakan.
Versi Drupal Commerce Core yang Terdampak
Menurut informasi yang dilaporkan, kerentanan ini memengaruhi sejumlah versi Drupal Commerce Core.
Komponen
Versi terdampak
Drupal Commerce Core 2.x
Versi sebelum 2.41
Drupal Commerce Core 3.x
Versi sebelum 3.3.13
Administrator perlu memeriksa versi Commerce Core yang digunakan pada setiap situs.
Penting untuk diketahui bahwa tidak semua instalasi Drupal otomatis terdampak. Risiko terutama berkaitan dengan situs yang menggunakan Commerce Core pada versi rentan.
Eksploitasi Aktif di Dunia Nyata
Salah satu alasan kerentanan ini menjadi perhatian adalah adanya konfirmasi bahwa celah tersebut telah dieksploitasi secara aktif.
Eksploitasi aktif berarti penyerang telah memanfaatkan kerentanan pada sistem nyata, bukan hanya menunjukkan kemungkinan serangan melalui penelitian atau simulasi.
Meskipun demikian, informasi mengenai identitas pelaku, jumlah situs yang terdampak, serta keseluruhan metode serangan belum tersedia secara lengkap dalam laporan yang dirujuk.
Administrator tidak sebaiknya menunggu informasi lebih lanjut sebelum melakukan pembaruan keamanan.
Dampak terhadap Situs E-Commerce
Kerentanan pada komponen e-commerce dapat menimbulkan berbagai risiko bagi pemilik toko online.
1. Risiko Finansial
Penyalahgunaan fungsi transaksi dapat menyebabkan kerugian finansial bagi pemilik toko.
Sebagai contoh, apabila penyerang berhasil mengakses fungsi tertentu tanpa izin, hal tersebut berpotensi memengaruhi proses pengelolaan pesanan atau transaksi.
Namun, tidak berarti setiap situs yang terdampak pasti mengalami pencurian dana. Dampaknya bergantung pada fungsi yang berhasil dieksploitasi.
2. Risiko terhadap Data
Akses tidak sah terhadap fungsi aplikasi dapat membuka peluang penyalahgunaan informasi.
Jika kerentanan memungkinkan akses ke data tertentu, informasi pelanggan atau transaksi dapat menghadapi risiko terhadap kerahasiaan dan integritasnya.
3. Gangguan Operasional
Serangan terhadap aplikasi e-commerce dapat mengganggu aktivitas bisnis.
Gangguan pada proses transaksi, pengelolaan produk, atau layanan pelanggan dapat memengaruhi operasional toko online.
4. Kerusakan Reputasi
Insiden keamanan juga dapat menurunkan kepercayaan pelanggan.
Pelanggan yang merasa informasi atau transaksi mereka tidak aman mungkin memilih untuk menggunakan layanan lain.
Langkah Mitigasi dan Rekomendasi Keamanan
Administrator situs Drupal disarankan segera melakukan beberapa langkah berikut.
1. Perbarui Drupal Commerce Core
Langkah utama adalah memperbarui Commerce Core ke versi yang telah diperbaiki.
Berdasarkan informasi yang dilaporkan:
Commerce Core 3.x: perbarui ke versi 3.3.13 atau versi perbaikan yang lebih baru.
Commerce Core 2.x: perbarui ke versi 2.41 atau versi perbaikan yang lebih baru.
Sebelum melakukan pembaruan, administrator sebaiknya membuat backup database dan file aplikasi.
Setelah pembaruan, lakukan pengujian untuk memastikan fungsi produk, keranjang belanja, dan checkout tetap berjalan dengan baik.
2. Periksa Versi Commerce Core
Administrator dapat memeriksa versi modul yang digunakan melalui dashboard Drupal atau menggunakan Drush.
Contoh perintah:
drush pm:list --type=module
Untuk memeriksa informasi proyek Commerce Core:
composer show drupal/commerce
Hasil pemeriksaan dapat digunakan untuk menentukan apakah situs menggunakan versi yang terdampak.
3. Audit Role dan Permission
Administrator perlu memeriksa hak akses setiap kelompok pengguna.
Pastikan pengguna biasa tidak memiliki izin untuk mengakses fungsi administrator atau melakukan perubahan terhadap data penting.
Pemeriksaan juga perlu mencakup route dan entity yang menangani proses transaksi.
4. Periksa Log Aktivitas
Karena kerentanan telah dieksploitasi secara aktif, administrator sebaiknya memeriksa log aplikasi dan aktivitas pengguna.
Beberapa hal yang perlu diperhatikan meliputi:
Permintaan akses tidak biasa ke endpoint Commerce Core.
Aktivitas pengguna yang tidak sesuai dengan hak aksesnya.
Perubahan data pesanan atau produk yang tidak dikenal.
Aktivitas login dan perubahan konfigurasi yang mencurigakan.
Jika ditemukan indikasi eksploitasi, lakukan prosedur respons insiden untuk mengamankan sistem dan mengidentifikasi dampaknya.
5. Lakukan Pengujian Keamanan
Setelah pembaruan, pengujian keamanan perlu dilakukan untuk memastikan mekanisme otorisasi berjalan dengan benar.
Pengujian dapat mencakup pemeriksaan apakah pengguna dengan hak akses rendah dapat mengakses fungsi yang seharusnya hanya tersedia bagi administrator.
Pengujian juga perlu dilakukan terhadap API dan endpoint yang menangani data sensitif.
Pelajaran Keamanan bagi Pengembang Web
Kerentanan CVE-2026-118539 memberikan beberapa pelajaran penting bagi pengembang aplikasi web.
Pertama, authentication tidak cukup tanpa authorization. Aplikasi harus memastikan bahwa pengguna yang telah berhasil login hanya dapat mengakses fungsi sesuai haknya.
Kedua, setiap endpoint harus memiliki pemeriksaan akses. Pengembang tidak boleh menganggap bahwa pengguna yang telah terautentikasi otomatis memiliki izin untuk menjalankan seluruh fungsi aplikasi.
Ketiga, pengujian keamanan perlu mencakup berbagai tingkat hak akses. Pengujian tidak cukup hanya dilakukan menggunakan akun administrator.
Keempat, pembaruan komponen harus menjadi bagian dari pemeliharaan rutin. CMS dan modul yang tidak diperbarui dapat menjadi pintu masuk bagi penyerang.
Kelima, monitoring membantu mendeteksi penyalahgunaan akses. Log aplikasi dan sistem pemantauan dapat membantu administrator menemukan aktivitas mencurigakan lebih cepat.
Kesimpulan
CVE-2026-118539 menunjukkan bahwa kesalahan dalam mekanisme otorisasi dapat menimbulkan risiko serius bagi aplikasi e-commerce.
Drupal telah mengonfirmasi adanya eksploitasi aktif terhadap kerentanan ini. Oleh karena itu, administrator situs yang menggunakan Drupal Commerce Core perlu segera memeriksa versi komponen dan melakukan pembaruan keamanan.
Selain pembaruan, pemeriksaan hak akses, monitoring aktivitas, dan pengujian keamanan juga penting untuk mengurangi risiko penyalahgunaan.
Bagi pemilik toko online, menjaga keamanan CMS dan komponen e-commerce bukan hanya persoalan teknis, tetapi juga bagian penting dalam melindungi transaksi, data pelanggan, dan kepercayaan pengguna.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
