2026-10-31
Drupal Commerce Core CVE-2026-118539: 비인증 접근 우회, 악용 중(8.x-2.41 또는 3.3.13으로 업데이트)
2026년 10월 28일 Drupal 보안 팀은 Commerce Core 모듈(CVE-2026-118539)에 대한 SA-CONTRIB-2026-254를 게시했습니다. 이 모듈은 특정 경로와 엔티티 필드를 충분히 보호하지 않아 접근 우회가 가능하며, 이는 상점 소유자에게 금전적 영향을 줄 수 있습니다. Drupal은 인증이 필요 없는 Highly critical(21/25)로 평가하고 실제로 적극적으로 악용되고 있다고 밝혔습니다. 영향 버전은 8.x-2.41 미만과 3.0.0부터 3.3.13 미만까지이며, 수정 버전은 8.x-2.41과 3.3.13입니다. NVD 기록에는 CISA ADP가 추가한 더 낮은 CVSS v3.1 점수 6.5가 있으며 아직 분석을 기다리고 있습니다. 10월 31일 기준 CISA의 KEV 카탈로그에는 없습니다. 우리의 결론: Drupal Commerce로 온라인 상점을 운영한다면 지금 업데이트하고, 최근 주문과 결제에서 일치하지 않는 것이 없는지 감사하세요.