대상 독자: Drupal Commerce로 만든 온라인 상점의 소유자와 개발자. 이 페이지는 Drupal의 보안 공지와 NVD를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
진행 중: 더 많은 정보가 공개되는 대로 이 페이지를 업데이트합니다
2026년 10월 31일 기준(JST)아직 알려지지 않음
- 공격자가 우회로 정확히 무엇을 하는지, 몇 개의 상점이 영향을 받는지(Drupal은 세부 사항을 밝히지 않음)
- NVD 자체의 분석(상태: Awaiting Analysis, 10월 30일)
- CISA가 KEV 카탈로그에 추가할지 여부
Drupal은 10월 28일 수정 버전과 함께 SA-CONTRIB-2026-254를 게시했으며, 이 결함이 적극적으로 악용되고 있다고 밝혔습니다. 우리는 10월 31일 공지, NVD, CISA의 KEV 피드를 확인했습니다.
오늘 할 일
Commerce Core 버전을 확인하세요
Composer 잠금 파일이나 Drupal 확장 페이지에서 Commerce Core(머신 이름 commerce) 버전을 확인하세요. 영향 버전: 8.x-2.41 미만, 그리고 3.0.0부터 3.3.13 미만까지.
업데이트하세요
Drupal의 공지대로 3.x를 쓴다면 3.3.13으로, 2.x 계열을 쓴다면 8.x-2.41로 옮기세요. 가능하면 스테이징에서 테스트하되, 오랫동안 테스트하면서 운영 환경을 영향 버전에 두지는 마세요.
주문과 결제를 감사하세요
Drupal은 사이트가 주문에서 일치하지 않는 것이 없는지 감사해야 한다고 밝혔습니다. 우리의 제안: 결제 완료나 완료된 주문을 결제 업체의 기록과 대조하고, 예상치 못한 가격, 합계, 주문 상태, 고객 필드를 찾아보세요. 악용은 10월 28일의 공지보다 앞설 수 있으므로 10월 28일부터 시작하는 검토로는 충분하지 않을 수 있습니다. 로그가 허락하는 만큼 거슬러 올라가세요.
로그를 보존한 뒤 다른 징후를 확인하세요
업데이트 이전의 웹 서버와 애플리케이션 로그를 보관하세요. 설명할 수 없는 것이 발견되면 개발자와 결제 업체를 참여시키고, 적용되는 개인정보 보호 및 결제 카드 규정에 따른 보고 의무를 고려하세요(우리의 판단).
공개된 내용
- 제품
- Commerce Core(머신 이름 commerce), 장바구니, 결제, API를 통해 판매하는 Drupal 모듈
- 유형
- 접근 우회. 모듈이 특정 경로와 엔티티 필드를 충분히 보호하지 않음(Drupal). NVD: 권한 누락(CWE-862), 강제 탐색
- 심각도
- Drupal: Highly critical, 21/25. 접근 복잡도 없음, 인증 없음, 기밀성과 무결성에 일부 영향, 실제 악용, 모든 구성에서 악용 가능. NVD 기록: CVSS v3.1 6.5(CISA-ADP가 추가)
- 영향 버전
- 8.x-2.41 미만, 3.0.0부터 3.3.13 미만
- 수정
- 8.x-2.41과 3.3.13
- 악용
- Drupal: "실제로 적극적으로 악용되고 있음." 누가, 얼마나 광범위하게인지는 밝히지 않음
- 게시
- 2026년 10월 28일(Drupal). NVD 기록은 10월 30일 생성
두 평가가 다른 이유: Drupal의 점수는 익스플로잇의 존재와 모든 구성에서의 악용 가능성을 고려하는 자체 25점 척도입니다. NVD의 6.5는 기술적 영향에 대한 CVSS 공식에서 나온 것이며 악용을 모델링하지 않습니다. 어느 쪽도 틀리지 않았지만, 첫 번째가 얼마나 긴급한지를 더 잘 알려 줍니다. NVD 기록에는 CISA-ADP(조정자)가 10월 30일 악용을 "none"으로 표시한 것도 있지만, 관리자인 Drupal이 활성 상태라고 밝혔으므로 우리는 Drupal의 설명을 따릅니다.
1. 버전 확인
8.x-2.41 또는 3.3.13 미만이면 영향
2. 업데이트
8.x-2.41 또는 3.3.13
3. 주문 감사
결제 업체 기록과 대조
타임라인
10월 28일
Drupal 보안 팀이 수정 버전과 함께 SA-CONTRIB-2026-254를 게시하고 이 결함이 적극적으로 악용되고 있다고 밝혔습니다.10월 30일
NVD가 CVE-2026-118539 기록을 생성했습니다(Awaiting Analysis, CISA-ADP의 CVSS 6.5).
알려진 것과 알려지지 않은 것
| 항목 | 상태 |
|---|---|
| 악용 | Drupal이 밝힘, 세부 사항 없음 |
| 영향 버전과 수정 버전 | Drupal이 게시(위 참조) |
| NVD | Awaiting Analysis, CISA-ADP의 CVSS 6.5 |
| CISA KEV | 10월 31일 기준 미등재 |
| 공격 규모와 주문에 가해진 일 | 공개되지 않음 |
출처
2026년 10월 31일(JST) 확인.
- Drupal.org, "Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254"(2026년 10월 28일) — drupal.org
- NVD, CVE-2026-118539 — nvd.nist.gov
- CISA, 알려진 악용 취약점 카탈로그(10월 31일 확인, 미등재) — cisa.gov
업데이트 기록
2026-10-31: Drupal의 공지와 NVD를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 악용된 또 다른 쇼핑몰 플랫폼 취약점: Adobe Commerce 및 Magento CVE-2026-48356
- 수정 우선순위: 어떤 CVE부터 고칠지 정하는 방법(CVSS, EPSS, KEV)
- 대응 절차: 취약점 조치 플레이북
- 용어: CVSS란?