ड्रुपल ने कॉमर्स कोर मॉड्यूल में गंभीर सुरक्षा खामी की चेतावनी दी, हो रहे हैं सक्रिय हमले

गंभीर सुरक्षा चेतावनी और सक्रिय हमले

लोकप्रिय ओपन-सोर्स कंटेंट मैनेजमेंट सिस्टम ड्रुपल (Drupal) ने अपने कॉमर्स कोर (Commerce Core) मॉड्यूल में एक अत्यंत गंभीर सुरक्षा खामी (Access Bypass Vulnerability) को लेकर चेतावनी जारी की है। सुरक्षा टीमों के अनुसार, इस कमजोरी का फायदा उठाकर हमलावर सक्रिय रूप से हमलों को अंजाम दे रहे हैं। इस सुरक्षा समस्या को ट्रैकिंग आईडी CVE-2026-118539 के रूप में दर्ज किया गया है। यह खामी ऑथराइजेशन से जुड़ी कमी के कारण उत्पन्न होती है, जिसका दुरुपयोग बिना प्रमाणीकरण (Unauthenticated) के भी किया जा सकता है।

प्रभावित संस्करण और पैच अपडेट

यह सुरक्षा खामी ड्रुपल कॉमर्स कोर के संस्करण 0.0.0 से 2.41 तक और 3.0.0 से 3.3.13 तक के संस्करणों को प्रभावित करती है। ड्रुपल सुरक्षा टीम ने प्रशासकों (Admins) को तुरंत अपने सिस्टम को अपडेट करने का निर्देश दिया है।

3.x शाखा का उपयोग करने वाले उपयोगकर्ताओं को तुरंत Commerce Core 3.3.13 पर अपग्रेड करना चाहिए। पुराने संस्करणों के उपयोगकर्ताओं के लिए Commerce Core 8.x-2.41 जारी किया गया है।

इसके साथ ही, प्रशासकों को सलाह दी गई है कि वे किसी भी संभावित वित्तीय या डेटा विसंगति (Inconsistencies) का पता लगाने के लिए अपने ऑर्डर्स की तुरंत ऑडिटिंग करें।

कॉमर्स कोर मॉड्यूल का महत्व और प्रभाव

ड्रुपल कॉमर्स कोर एक सामुदायिक रूप से विकसित मॉड्यूल है, जिसका उपयोग 42,000 से अधिक वेबसाइटों द्वारा किया जाता है। इसमें फॉर्च्यून 500 कंपनियां और प्रमुख अनुसंधान विश्वविद्यालय भी शामिल हैं। यह मॉड्यूल ड्रुपल सीएमएस पर ई-कॉमर्स साइटें और शॉपिंग ऐप बनाने और चलाने के लिए सॉफ्टवेयर फ्रेमवर्क प्रदान करता है।

ड्रुपल की आधिकारिक एडवाइजरी के अनुसार, यह मॉड्यूल कुछ रूट्स और एंटिटी फ़ील्ड्स को पर्याप्त रूप से सुरक्षित नहीं करता है, जिससे एक्सेस बायपास की स्थिति बनती है। इससे वेंडर को वित्तीय नुकसान हो सकता है, और वर्तमान में इस खामी का दुरुपयोग खुलेआम किया जा रहा है।

व्यावहारिक निहितार्थ और पाठक क्या सत्यापित कर सकते हैं

पुष्ट तथ्य: खामी की पहचान और ट्रैकिंग आईडी (CVE-2026-118539)। प्रभावित संस्करण और अनुशंसित अपडेट संस्करण (3.3.13 और 8.x-2.41)। यह तथ्य कि हमलावर इस खामी का सक्रिय रूप से फायदा उठा रहे हैं।

अनिश्चितताएं और अज्ञात पहलू: विशेष हमलों का पैमाना, विशिष्ट लक्षित संगठन, और इस खामी से जुड़े वित्तीय नुकसान का सटीक आंकड़ा सार्वजनिक रूप से उपलब्ध नहीं है।

मूल घोषणा कैसे जांचें: पाठक और वेबसाइट प्रशासक अधिक जानकारी और आधिकारिक सुरक्षा सलाह के लिए सीधे [BleepingComputer की मूल रिपोर्ट](https://www.bleepingcomputer.com/news/security/drupal-warns-of-critical-commerce-core-flaw-exploited-in-attacks/) और ड्रुपल की आधिकारिक सुरक्षा एडवाइजरी देख सकते हैं।