Lỗ hổng nghiêm trọng trong Drupal Commerce Core bị khai thác nhắm vào các cửa hàng trực tuyến

Drupal vừa phát đi cảnh báo khẩn cấp tới các chủ cửa hàng trực tuyến về một lỗ hổng vượt qua kiểm soát truy cập (access bypass) cực kỳ nghiêm trọng trong module Commerce Core, đồng thời xác nhận lỗ hổng này đang bị khai thác trên thực tế. Đây là module mở rộng (contributed module) bổ sung các tính năng thương mại điện tử cho trang web Drupal, bao gồm giỏ hàng và quy trình thanh toán.

Theo thống kê của Drupal, module này đang được sử dụng trên hơn 42.000 trang web. Lỗ hổng được theo dõi với mã CVE-2026-118539.

Minh họa lỗ hổng bảo mật Drupal Commerce Core

Nguyên nhân và mức độ nguy hiểm

Trong bản khuyến cáo bảo mật, Drupal giải thích rằng module không bảo vệ đầy đủ một số tuyến đường (route) và trường thực thể (entity field) nhất định, dẫn đến lỗi vượt qua kiểm soát truy cập có thể gây thiệt hại về tài chính cho nhà cung cấp.

Đội ngũ bảo mật của Drupal chấm lỗ hổng này 21/25 điểm rủi ro. Theo thang điểm này, kẻ tấn công không cần xác thực (unauthenticated) vẫn có thể khai thác được lỗ hổng bất kể module được cấu hình theo cách nào.

"Module không bảo vệ đầy đủ các tuyến đường và trường thực thể nhất định, dẫn đến lỗi vượt qua kiểm soát truy cập có thể gây thiệt hại về tài chính cho nhà cung cấp." — Khuyến cáo của Drupal

Phiên bản bị ảnh hưởng và cách khắc phục

Lỗ hổng ảnh hưởng đến các phiên bản 3.x trước 3.3.13 và các bản phát hành trước 8.x-2.41. Quản trị viên cần cập nhật lên một trong hai phiên bản đã được vá và kiểm tra lại đơn hàng của cửa hàng mình.

Drupal nhấn mạnh:

"Các trang web nên rà soát đơn hàng để tìm ra những điểm bất thường, vì lỗ hổng này đang bị khai thác tích cực."

Đáng chú ý, Drupal đã xác nhận có các cuộc tấn công khai thác nhưng không công bố cơ chế khai thác cụ thể, danh tính kẻ tấn công hay số lượng trang web bị nhắm mục tiêu. Cơ quan này cũng chưa cho biết liệu lỗ hổng có bị khai thác dưới dạng zero-day (trước khi bản vá được phát hành) hay không.

Loạt bản vá lớn trong cùng đợt

Cùng ngày 28/10, Drupal phát hành thêm 38 khuyến cáo bảo mật khác, xử lý các lỗ hổng trong 21 dự án mở rộng. Gần một chục lỗ hổng được xếp mức nghiêm trọng, bao gồm những lỗi có thể dẫn tới thực thi mã từ xa (RCE), chiếm đoạt tài khoản (account takeover), hoặc khiến đơn hàng Commerce thanh toán qua Stripe bị đánh dấu là đã thanh toán dù chưa hề trả tiền.

Module CAPTCHA cũng nhận bản vá cho một lỗi mức trung bình nghiêm trọng, cho phép gửi lại một biểu mẫu được bảo vệ mà không cần giải thử thách mới. Đánh giá của Drupal cho thấy mã khai thác cho lỗi này đã tồn tại trên thực tế, dù khuyến cáo không đề cập đến việc khai thác tích cực.

Ngoài ra, đánh giá của Drupal cũng chỉ ra rằng đã có bằng chứng khái niệm (proof of concept) cho hai lỗi rò rỉ thông tin, một trong Commerce Core và một trong Media Alias Display.

Trước đó vào ngày 14/10, Drupal đã công bố bản vá cho hai lỗ hổng thực thi mã từ xa nghiêm trọng: CVE-2026-108097 trong module Field UI của lõi và CVE-2026-108099 trong module Entity List. Cả hai thành phần này không tự chúng phơi bày lỗ hổng, nhưng một số module mở rộng hoặc mã tùy chỉnh khác có thể khiến việc khai thác trở nên khả thi, trong một số trường hợp không cần xác thực.

Ông Eduard Kovacs, tác giả bài viết gốc trên SecurityWeek

Góc nhìn cho người dùng Việt Nam

Với các doanh nghiệp trong nước đang vận hành website thương mại điện tử trên nền tảng Drupal, đây là lời nhắc nhở rằng các module mở rộng cũng tiềm ẩn rủi ro không kém phần lõi. Việc chậm trễ cập nhật có thể dẫn đến thiệt hại tài chính trực tiếp thông qua các đơn hàng bị thao túng hoặc bị đánh dấu đã thanh toán sai.

Các khuyến nghị thực tế cho quản trị viên:

• Cập nhật ngay lên Commerce Core 3.3.13 hoặc 8.x-2.41 (hoặc phiên bản mới hơn).
• Rà soát toàn bộ đơn hàng trong khoảng thời gian nghi vấn, đối chiếu với lịch sử giao dịch thanh toán thực tế.
• Kiểm tra log truy cập để phát hiện các yêu cầu bất thường tới các tuyến đường nhạy cảm.
• Theo dõi các khuyến cáo bảo mật của Drupal và xây dựng quy trình vá lỗi định kỳ, thay vì chỉ xử lý khi có sự cố.

Đáng lưu ý, trước đợt phát hành bảo mật ngày 14/10, Drupal từng cảnh báo rằng mã khai thác có thể xuất hiện chỉ trong vòng vài giờ hoặc vài ngày. Trước đó vào tháng 5, lỗ hổng CVE-2026-9082 — một lỗi SQL injection cực kỳ nghiêm trọng trong API trừu tượng hóa cơ sở dữ liệu của lõi Drupal, ảnh hưởng tới các trang dùng PostgreSQL — cũng đã thu hút nhiều nỗ lực khai thác.

Bài học rút ra khá rõ ràng: trong bối cảnh các lỗ hổng thương mại điện tử ngày càng bị nhắm tới vì giá trị tài chính trực tiếp, tốc độ vá lỗi chính là một phần của chiến lược kinh doanh, không chỉ là việc kỹ thuật.

Logo SecurityWeek