Drupal ha confirmado que atacantes están explotando una vulnerabilidad crítica de Commerce Core, el módulo que añade funciones de comercio electrónico a sitios basados en su gestor de contenidos. El fallo, identificado como CVE-2026-118539, permite omitir controles de acceso y puede afectar a tiendas sin que el atacante tenga que iniciar sesión.
El equipo de seguridad de Drupal pidió a los administradores instalar las versiones corregidas y comprobar los pedidos de sus tiendas en busca de inconsistencias. La advertencia se publicó el 28 de octubre; BleepingComputer informó de ella el 30 de octubre.
“The module doesn't sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor. This vulnerability is being actively exploited in the wild.”
— Drupal
Qué versiones de Commerce Core están afectadas
El problema se debe a una falta de autorización en determinadas rutas y campos de entidades. Commerce Core se usa para crear tiendas y aplicaciones de compras sobre Drupal, con funciones como carrito y proceso de pago. Según BleepingComputer, el módulo está presente en más de 42.000 sitios.
La vulnerabilidad afecta a las versiones de Commerce Core desde la 0.0.0 hasta la 2.41 y a las de la rama 3.x anteriores a la 3.3.13. La recomendación de Drupal es actualizar la rama 3.x a la versión 3.3.13; para instalaciones anteriores, la corrección indicada es Commerce Core 8.x-2.41.
El Centro Canadiense de Ciberseguridad también registró la alerta el 30 de octubre. Su aviso identifica como vulnerables las versiones anteriores a 2.41 y las versiones 3.0.0 anteriores a 3.3.13, y señala que hay indicios públicos de explotación activa.
Actualizar y auditar los pedidos
La actualización no es la única medida concreta que Drupal recomienda: los responsables de las tiendas deben revisar los pedidos para detectar anomalías. La advertencia apunta a un posible impacto económico para el vendedor, aunque Drupal no ha detallado públicamente el método empleado en los ataques ni su alcance.
SecurityWeek recoge que Drupal asignó al fallo una puntuación de riesgo de 21 sobre 25. Según ese medio, la explotación no requiere autenticación y es posible con independencia de cómo esté configurado el módulo. Drupal, sin embargo, no ha identificado quién está detrás de la actividad ni cuántos sitios han sido atacados.
La vulnerabilidad se suma a otros avisos recientes de seguridad para Drupal. BleepingComputer recuerda que en mayo se explotó una inyección SQL identificada como CVE-2026-9082, y que a mediados de octubre Drupal corrigió dos fallos de ejecución remota de código, CVE-2026-108097 y CVE-2026-108099. Esos antecedentes no aportan detalles sobre los ataques actuales contra Commerce Core, pero sitúan la alerta en una serie de problemas para los que Drupal ha pedido aplicar parches con rapidez.
Por ahora, los administradores tienen dos tareas señaladas por Drupal: instalar la versión corregida que corresponda a su rama y auditar los pedidos de Commerce Core.
Fuentes: BleepingComputer, Canadian Centre for Cyber Security, SecurityWeek
