Đội bảo mật Drupal vừa công bố CVE-2026-118539, lỗ hổng vượt quyền truy cập trong module Commerce Core, nền tảng thương mại điện tử phổ biến nhất của Drupal. Advisory SA-CONTRIB-2026-254 phát hành ngày 28/10/2026 xếp lỗi ở mức Highly critical (21/25) và xác nhận lỗi đang bị khai thác ngoài thực tế. Cửa hàng chạy Drupal Commerce cần nâng cấp ngay và kiểm tra lại đơn hàng.

Tóm tắt nhanh

  • Lỗ hổng: CVE-2026-118539, vượt quyền truy cập (access bypass) trong Commerce Core.
  • Mức độ: Highly critical, điểm rủi ro 21/25 theo thang của Drupal.
  • Điều kiện: không cần đăng nhập, người dùng ẩn danh chỉ cần truy cập một trang.
  • Ảnh hưởng: Commerce Core trước 2.41 và từ 3.0.0 đến trước 3.3.13.
  • Bản vá: Commerce Core 3.3.13 (nhánh 3.x) hoặc 8.x-2.41 (nhánh cũ).
  • Tình trạng: đang bị khai thác, Drupal yêu cầu rà soát đơn hàng.

Lỗ hổng nằm ở đâu?

Theo advisory, Commerce Core "không bảo vệ đầy đủ một số route và trường dữ liệu", tạo ra lỗ hổng vượt quyền truy cập có thể gây thiệt hại tài chính cho chủ cửa hàng. Drupal không công bố chi tiết kỹ thuật như route nào bị ảnh hưởng, nhằm hạn chế việc khai thác hàng loạt trong lúc các site đang cập nhật.

Điểm đáng lo là thang điểm rủi ro của Drupal ghi nhận lỗi không cần xác thực và có thể bị khai thác bởi khách ẩn danh. Với một cửa hàng trực tuyến, vượt quyền ở tầng đơn hàng, giá hay thanh toán có thể dẫn tới đơn hàng sai giá trị, thay đổi trạng thái đơn hoặc thất thoát hàng hóa. Đây là lý do advisory yêu cầu rà soát đơn hàng chứ không chỉ cập nhật code.

Ai phát hiện và sửa lỗi?

Lỗi được báo bởi Dan Puccetti, Marcus Johansson và Robert Snyder. Bản sửa do nhóm duy trì Commerce gồm Jonathan Sacksick, Lee Rowlands, Mohit Aghera, Ryan Szrama, Tom Ashe và Jakub Piasecki thực hiện, với sự điều phối của đội bảo mật Drupal.

Quản trị viên Drupal Commerce cần làm gì?

  1. Kiểm tra phiên bản: chạy composer show drupal/commerce hoặc xem trang Reports > Available updates trong khu quản trị.
  2. Nâng cấp: với nhánh 3.x, chạy composer require drupal/commerce:^3.3.13 -W; với nhánh cũ, lên 8.x-2.41. Sau đó chạy drush updatedb và drush cache:rebuild.
  3. Rà soát đơn hàng: đối chiếu tổng tiền, trạng thái, phương thức thanh toán và lịch sử thay đổi của các đơn gần đây với dữ liệu từ cổng thanh toán. Chú ý đơn được tạo hoặc cập nhật từ tài khoản ẩn danh bất thường.
  4. Xem log máy chủ: tìm truy cập dồn dập vào các route của Commerce từ cùng một nhóm IP trong vài ngày qua.
  5. Sao lưu trước khi cập nhật: giữ một bản sao cơ sở dữ liệu trước khi nâng cấp để phục vụ đối chiếu nếu phát hiện đơn bị can thiệp.

Nếu website bán hàng chạy trên VPS tự quản, nên thiết lập sao lưu tự động hằng ngày như hướng dẫn trong bài sao lưu VPS tự động bằng rsync, mysqldump và cron. Bản sao lưu cũ giúp so sánh dữ liệu đơn hàng trước và sau thời điểm bị khai thác.

Tháng 10 khó khăn với các nền tảng bán hàng

CVE-2026-118539 là lỗ hổng thương mại điện tử thứ hai bị khai thác được công bố trong tuần. Trước đó, lỗi tải file tùy ý Magento PolyShell CVE-2026-48356 cũng bị đưa vào danh mục KEV của CISA. Các cửa hàng nhỏ thường ít người theo dõi bản tin bảo mật hằng ngày, nên kẻ tấn công nhắm vào khoảng thời gian giữa lúc công bố bản vá và lúc site thực sự được cập nhật.

Một số việc nên làm lâu dài: đăng ký nhận email advisory của Drupal, bật kiểm tra cập nhật tự động trong module Update Manager, và tách môi trường thử nghiệm để có thể cập nhật nhanh mà không lo hỏng giao diện. Khi chọn hosting cho cửa hàng, bài checklist chọn hosting cho shop online nhỏ có thể giúp bạn đánh giá thêm tiêu chí sao lưu và hỗ trợ kỹ thuật.

Nguồn tham khảo