오픈소스 콘텐츠 관리 시스템 드루팔(Drupal)이 전자상거래 모듈 '커머스 코어'에서 발견된 치명적 접근 우회 취약점이 실제 공격에 쓰이고 있다고 경고했다. 취약점 번호는 CVE-2026-118539이며, 드루팔은 이 문제를 수요일에 보안 권고(sa-contrib-2026-254)로 공지했다.
드루팔에 따르면 이 모듈은 일부 경로와 엔티티 필드를 충분히 보호하지 못한다. 인증 없이도 공격할 수 있어 외부 공격자가 접근 제어를 건너뛸 수 있다.
영향 범위는 커머스 코어 0.0.0부터 2.41까지, 그리고 3.0.0부터 3.3.13까지다. 3.x 계열은 3.3.13, 이전 계열은 8.x-2.41로 올리라는 것이 드루팔의 안내다. 공격이 진행 중인 만큼 주문 내역에 이상이 없는지 점검하라는 권고도 나왔다.
이 모듈을 쓰는 사이트는 4만 2천 곳이 넘고, 대기업과 연구 중심 대학도 포함된다. 드루팔은 지난 5월에도 SQL 인젝션 취약점이 악용된다고 경고했고, 약 2주 전에는 원격 코드 실행 취약점 2건을 패치했다. 미국 사이버보안청(CISA)이 실제 악용을 확인한 드루팔 취약점은 다섯 건에 이른다.
원문: BleepingComputer
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.