드루팔 커머스 취약점 패치 버전 — 3.3.13·8.x-2.41, 로그인 없이 주문 데이터를 고친다

패치가 나오고 이틀 만에 공격 중이라는 경고가 붙었다. 오픈소스 콘텐츠 관리 시스템 드루팔의 보안팀은 쇼핑몰 모듈 커머스 코어(Commerce Core)의 취약점 CVE-2026-118539가 실제 공격에 쓰이고 있다고 밝혔다. 보안 권고 번호는 SA-CONTRIB-2026-254, 위험도는 25점 만점에 21점으로 「매우 심각(Highly critical)」 등급이다.

결론부터 말하면 3.x 계열은 3.3.13, 2.x 계열은 8.x-2.41로 올려야 한다. 두 버전은 2026년 10월 28일 나왔다. 드루팔 코어를 최신으로 올렸다고 이 모듈까지 고쳐지는 것은 아니다. 커머스 코어는 드루팔 사이트에 장바구니·결제·판매 기능을 붙이는 모듈이라, 뚫리면 곧바로 주문과 돈 문제가 된다.

1. 패치 버전 — 내 사이트는 어디에 해당하나

패치 대상인 2.x·3.x 사이트가 약 3만 곳이다. 이번 릴리스는 덜 심각한 취약점 5건도 함께 고쳤다. 일부 자료는 취약 범위를 0.0.0부터로 넓게 잡으므로, 자기 사이트의 정확한 버전을 확인하는 것이 먼저다. 커머스 API, 커머스 라이선스, 커머스 배송, 커머스 스트라이프 모듈도 별도 보안 릴리스가 나왔다.

드루팔 7 사이트는 더 곤란하다. 드루팔 7은 2025년 1월 5일 이후 보안 업데이트를 받지 못하고 있어 이번 권고에서 아예 빠졌다. 지원이 끝난 소프트웨어가 왜 위험한지는 「지원 종료(EOL)란」에서 PHP 사례로 설명했다.

2. 무엇이 문제인가 — 문은 있는데 자물쇠가 빠졌다

권한 확인 누락은 말 그대로 이 요청을 한 사람이 이 일을 해도 되는지 묻는 단계가 빠진 결함이다. 로그인해야 볼 수 있는 주문 정보나 관리자만 바꿀 수 있는 필드에, 로그인하지 않은 사람이 직접 주소를 쳐서 들어갈 수 있다는 뜻이다. 드루팔은 구체적으로 어떤 경로와 필드인지 공개하지 않았다. 공격자에게 지도를 주지 않으려는 조치다.

드루팔이 업데이트 뒤 주문을 점검하라고 권한 이유도 여기 있다. 데이터를 고칠 수 있다면 가격·합계·주문 상태가 바뀌었을 수 있다.

3. 패치 이틀 만에 공격 — 시간이 사라졌다

IT데일리 필자는 패치 공개와 실제 공격 사이 간격이 사실상 사라졌다고 지적하며, 그 이유 중 하나로 패치를 분석해 공격 코드를 빠르게 만드는 AI 도구를 꼽았다. 패치를 보면 무엇을 고쳤는지 알 수 있고, 무엇을 고쳤는지 알면 고치지 않은 사이트를 공격할 수 있다. 이 시간이 AI로 짧아지고 있다는 주장이다(필자 의견이며 드루팔의 분석은 아니다).

같은 흐름은 이번 달 내내 이어졌다. PHP2Shell도 공개 나흘 전부터 공격 시도가 있었다(「PHP2Shell 취약점 패치 버전」). 같은 주 시스코 방화벽과 깃랩 취약점은 CISA 악용 확인 목록에 올랐다.

4. 운영자 점검 순서

5. 자주 묻는 질문

6. 남은 것과 확인되지 않은 것

• 공격 근거: 실제 공격은 드루팔 보안팀 발표다. 위협 정보 업체 일부는 근거가 부족하다고 표시했고, CISA 목록에는 아직 없다.
• 공격 방식·피해 규모: 드루팔이 공개하지 않았다. 피해 사이트 수도 알려지지 않았다.
• 국내 영향: 한국에서 드루팔 커머스를 쓰는 쇼핑몰 수는 확인하지 못했다.

같은 날 터진 역대 최대 가상자산 탈취 사건은 「바이낸스 해킹 63억 달러」에서 다뤘다.