Dari Kerentanan Menjadi Account Takeover

Dari Kerentanan Menjadi Account Takeover – Platform e-commerce merupakan salah satu target yang sangat menarik bagi pelaku kejahatan siber.

Di dalam sebuah toko online tidak hanya terdapat informasi mengenai produk dan transaksi, tetapi juga data pelanggan, alamat pengiriman, riwayat pembelian, hingga berbagai informasi yang dapat digunakan untuk melakukan penipuan.

Karena itu, kerentanan pada platform e-commerce memiliki konsekuensi yang jauh lebih besar dibandingkan sekadar gangguan terhadap sebuah aplikasi.

Salah satu perkembangan yang perlu menjadi perhatian administrator toko online adalah munculnya upaya eksploitasi terhadap CVE-2026-71362.

Sebuah kerentanan pada Adobe Commerce dan Magento yang berpotensi memungkinkan penyerang mengambil alih sesi pelanggan dan memperoleh akses terhadap akun serta data pribadi korban.

Kerentanan tersebut dikategorikan sebagai incorrect authorization vulnerability, yaitu kondisi ketika aplikasi tidak melakukan pemeriksaan otorisasi secara tepat sehingga pengguna yang tidak seharusnya memiliki akses dapat memperoleh hak untuk mengakses sumber daya tertentu.

Dalam kasus ini, risikonya menjadi lebih serius karena eksploitasi dilaporkan dapat dilakukan tanpa akun yang sudah ada, tanpa hak administrator, dan tanpa memerlukan interaksi pengguna.

Mengapa Kerentanan Ini Berbahaya?

Dalam sistem e-commerce, akun pelanggan merupakan salah satu aset penting. Akun tersebut dapat berisi nama, alamat, nomor telepon, riwayat transaksi, informasi pengiriman, serta data lain yang berhubungan dengan aktivitas pelanggan.

Jika mekanisme pengamanan sesi gagal memastikan bahwa seorang pengguna hanya dapat mengakses akun miliknya sendiri, penyerang dapat mencoba mengubah identitas sesi tersebut sehingga sesi yang semula terkait dengan satu pelanggan beralih ke akun pelanggan lain.

Inilah yang membuat CVE-2026-71362 menjadi perhatian.

Menurut analisis peneliti terhadap patch yang dirilis Adobe, persoalannya berkaitan dengan bagaimana Magento menangani identitas pelanggan dalam sebuah sesi akun.

Eksploitasi dapat membuat sesi pelanggan berpindah ke akun pelanggan lain sehingga penyerang memperoleh akses terhadap akun dan informasi privat korban.

Yang membuat situasi semakin mengkhawatirkan adalah persyaratan eksploitasi yang relatif rendah.

Penyerang tidak perlu memiliki akun terlebih dahulu. Tidak diperlukan hak administrator. Bahkan korban tidak perlu melakukan tindakan apa pun agar eksploitasi dapat dilakukan.

Dengan kata lain, apabila sebuah toko menjalankan versi yang rentan dan endpoint yang diperlukan dapat dijangkau dari Internet, serangan berpotensi dilakukan dari jarak jauh tanpa harus terlebih dahulu memperoleh kredensial korban.

Dari Kerentanan Menjadi Account Takeover

Istilah account takeover menggambarkan kondisi ketika penyerang berhasil mendapatkan kendali atas akun milik pengguna lain.

Dalam kasus CVE-2026-71362, masalah bukan sekadar kebocoran informasi pada tingkat aplikasi. Jika penyerang dapat mengubah identitas pelanggan yang terkait dengan sebuah sesi, maka konsekuensinya dapat berupa akses langsung terhadap akun korban.

Bayangkan seorang penyerang mengakses sebuah toko online tanpa memiliki akun. Alih-alih harus menebak password atau melakukan phishing terhadap pelanggan, penyerang mencoba memanfaatkan kelemahan dalam mekanisme pengelolaan sesi.

Jika mekanisme otorisasi dapat dimanipulasi, aplikasi mungkin gagal membedakan antara identitas pengguna yang sebenarnya dan identitas akun yang diminta oleh penyerang.

Upaya Eksploitasi Mulai Terdeteksi

Hal lain yang membuat kerentanan ini perlu mendapat perhatian adalah laporan mengenai adanya aktivitas eksploitasi.

Adobe, dalam advisory keamanannya, menyatakan bahwa mereka tidak mengetahui adanya eksploitasi terhadap kerentanan yang diperbaiki dalam pembaruan tersebut.

Namun, perusahaan keamanan e-commerce Sansec melaporkan bahwa sistem Web Application Firewall (WAF) miliknya telah memblokir upaya eksploitasi CVE-2026-71362.

Perbedaan informasi tersebut perlu dipahami dengan hati-hati.

Pernyataan vendor bahwa mereka tidak mengetahui eksploitasi di alam liar tidak selalu berarti bahwa tidak ada percobaan serangan sama sekali.

Di sisi lain, laporan dari penyedia keamanan mengenai pemblokiran pola eksploitasi menunjukkan bahwa administrator tidak seharusnya menunggu sampai sebuah kerentanan terbukti digunakan dalam serangan massal sebelum melakukan mitigasi.

Dalam keamanan siber, waktu antara disclosure, ketersediaan patch, dan eksploitasi aktif sering kali sangat menentukan.

Semakin lama sebuah sistem rentan terhubung ke Internet, semakin besar kesempatan bagi penyerang untuk menemukan dan memanfaatkannya.

Bukan Hanya Satu Kerentanan

Pembaruan keamanan Adobe yang menjadi konteks CVE-2026-71362 juga memperbaiki beberapa kerentanan lain pada Adobe Commerce dan Magento.

Empat di antaranya dikategorikan memiliki tingkat keparahan tinggi, sementara dua lainnya berada pada tingkat medium dan rendah.

Beberapa kerentanan tersebut berkaitan dengan stored cross-site scripting (XSS) yang berpotensi digunakan untuk menjalankan kode tertentu.

Sementara lainnya merupakan kelemahan otorisasi yang dapat menyebabkan bypass terhadap fitur keamanan atau eskalasi hak akses.

Kerentanan yang tercantum dalam pembaruan tersebut antara lain:

CVE-2026-48414, dengan skor CVSS 7,7, berupa stored XSS yang berpotensi menyebabkan eksekusi kode arbitrer. Eksploitasi membutuhkan autentikasi dan hak administrator.
CVE-2026-48413, dengan skor CVSS 8,7, berupa stored XSS yang juga berpotensi menyebabkan eksekusi kode arbitrer, tetapi tidak membutuhkan hak administrator.
CVE-2026-48415, dengan skor CVSS 7,6, berupa incorrect authorization pada Adobe Commerce B2B yang dapat menyebabkan bypass fitur keamanan.
CVE-2026-48416, dengan skor CVSS 7,5, berupa incorrect authorization yang berpotensi menyebabkan bypass fitur keamanan tanpa memerlukan autentikasi.
CVE-2026-48411, dengan skor CVSS 6,5, berupa incorrect authorization yang dapat menyebabkan bypass fitur keamanan dan membutuhkan autentikasi serta hak administrator.
CVE-2026-48412, dengan skor CVSS 2,7, berupa incorrect authorization yang berpotensi menyebabkan privilege escalation.

Keberadaan beberapa kerentanan dalam satu pembaruan menunjukkan bahwa administrator tidak seharusnya hanya melihat CVE dengan skor paling tinggi.

Kerentanan dengan skor lebih rendah pun dapat menjadi berbahaya apabila digabungkan dengan kelemahan lain dalam sebuah rangkaian serangan.

Mengapa Magento Menjadi Target Menarik?

Magento dan Adobe Commerce digunakan untuk membangun dan mengoperasikan toko online dengan berbagai ukuran. Platform semacam ini memiliki karakteristik yang membuatnya menarik bagi penyerang.

Toko online biasanya tersedia secara publik melalui Internet.
Aplikasi menyimpan data pelanggan dan transaksi.
Sistem e-commerce memiliki berbagai integrasi dengan layanan lain, mulai dari payment gateway, sistem logistik, CRM, ERP, hingga berbagai extension pihak ketiga.
Administrator sering kali harus menjalankan banyak komponen agar toko tetap berfungsi.

Semakin kompleks sebuah aplikasi, semakin besar pula permukaan serangannya.

Pengalaman sebelumnya juga menunjukkan bahwa kerentanan pada Magento dan Adobe Commerce dapat dieksploitasi dalam skala besar.

Pada Maret 2026, misalnya, peneliti keamanan siber melaporkan kampanye PolyShell, sebuah kerentanan unrestricted file upload yang memengaruhi Magento dan Adobe Commerce dan kemudian digunakan dalam serangan terhadap banyak toko. Sansec menyebut telah mengamati serangan terhadap sebagian besar toko yang dipantaunya.

Beberapa bulan sebelumnya, Sansec juga melaporkan berbagai insiden lain yang berkaitan dengan Magento, termasuk kerentanan pada extension dan serangan yang dapat mengarah pada remote code execution maupun pencurian data.

Artinya, CVE baru tidak dapat dipandang sebagai kejadian yang berdiri sendiri.

Dampak Tidak Berhenti pada Akun Pelanggan

Jika sebuah kerentanan berhasil digunakan untuk mengambil alih akun pelanggan, dampaknya dapat berkembang menjadi persoalan yang lebih luas.

Penyerang dapat memanfaatkan akses tersebut untuk melihat informasi pribadi, mempelajari riwayat transaksi, mengubah informasi akun, atau melakukan tindakan lain yang tersedia bagi pengguna.

Informasi yang diperoleh juga dapat menjadi bahan untuk serangan berikutnya.

Misalnya, data pelanggan dapat digunakan untuk membuat pesan penipuan yang lebih meyakinkan. Penyerang yang mengetahui nama, alamat, riwayat pembelian, atau informasi transaksi korban dapat membuat komunikasi yang terlihat lebih legitimate.

Dalam skenario tertentu, account takeover juga dapat digunakan untuk melakukan penipuan finansial atau penyalahgunaan layanan.

Karena itu, keamanan akun pelanggan tidak hanya menjadi persoalan teknis bagi administrator platform. Ia juga berkaitan dengan kepercayaan pelanggan terhadap sebuah bisnis.

Sebuah toko online dapat kehilangan lebih dari sekadar data ketika terjadi kompromi. Reputasi, kepercayaan konsumen, dan hubungan dengan mitra bisnis juga dapat terdampak.

Patch Tidak Boleh Ditunda

Bagi administrator Adobe Commerce dan Magento, langkah paling penting adalah memastikan versi yang digunakan berada pada release branch yang didukung dan telah memperoleh pembaruan keamanan yang sesuai.

Adobe mendistribusikan sejumlah perbaikan keamanan Commerce dalam bentuk isolated security patches. Karena itu, administrator perlu memastikan terlebih dahulu bahwa versi atau release branch yang digunakan memang merupakan versi terbaru yang memenuhi persyaratan sebelum menerapkan patch terkait.

Pendekatan ini penting karena memasang patch pada basis versi yang tidak sesuai dapat menimbulkan masalah kompatibilitas atau membuat administrator keliru mengira sistem sudah sepenuhnya terlindungi.

Selain melakukan patching, administrator sebaiknya tidak menganggap pekerjaan selesai setelah pembaruan berhasil dipasang.

Periksa Kemungkinan Kompromi

Ketika sebuah kerentanan sudah mulai mendapatkan perhatian dari komunitas keamanan atau terdapat laporan mengenai upaya eksploitasi, administrator sebaiknya juga mempertimbangkan kemungkinan bahwa sistem pernah menjadi sasaran.

Pemeriksaan dapat mencakup:

Log aplikasi dan web server, terutama permintaan yang tidak biasa terhadap endpoint yang berhubungan dengan autentikasi dan customer session.
Aktivitas login pelanggan, termasuk login dari lokasi atau pola yang tidak lazim.
Perubahan informasi akun, terutama email, alamat pengiriman, nomor telepon, atau informasi lain yang tidak dilakukan oleh pelanggan.
Pembuatan atau perubahan akun administrator.
Perubahan file aplikasi, plugin, extension, dan konfigurasi.
Aktivitas jaringan keluar yang mencurigakan dari server e-commerce.
Perubahan pada database, terutama data yang berkaitan dengan akun pelanggan.

Pemeriksaan ini penting karena patch hanya menutup kerentanan. Jika penyerang sudah berhasil memperoleh akses sebelum patch diterapkan, pemasangan patch tidak otomatis menghapus persistence atau aktivitas yang telah ditinggalkan penyerang.

Baca artikel lainnya: