Drupal ha confermato che gli aggressori stanno sfruttando una vulnerabilità critica di Commerce Core, il modulo che aggiunge funzionalità di commercio elettronico ai siti basati sul suo sistema di gestione dei contenuti. La falla, identificata come CVE-2026-118539, consente di aggirare i controlli di accesso e può colpire i negozi senza che l’aggressore debba effettuare l’accesso.
Il team di sicurezza di Drupal ha chiesto agli amministratori di installare le versioni corrette e di controllare gli ordini dei propri negozi per individuare eventuali incongruenze. L’avviso è stato pubblicato il 28 ottobre; BleepingComputer ne ha dato notizia il 30 ottobre.
“The module doesn't sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor. This vulnerability is being actively exploited in the wild.”
— Drupal
Quali versioni di Commerce Core sono interessate
Il problema è dovuto a un’autorizzazione insufficiente per determinati percorsi e campi delle entità. Commerce Core viene utilizzato per creare negozi e applicazioni di acquisto su Drupal, con funzionalità come il carrello e il processo di pagamento. Secondo BleepingComputer, il modulo è presente su oltre 42.000 siti.
La vulnerabilità interessa le versioni di Commerce Core dalla 0.0.0 alla 2.41 e quelle del ramo 3.x precedenti alla 3.3.13. Drupal raccomanda di aggiornare il ramo 3.x alla versione 3.3.13; per le installazioni precedenti, la correzione indicata è Commerce Core 8.x-2.41.
Anche il Centro canadese per la cybersicurezza ha registrato l’avviso il 30 ottobre. La sua segnalazione indica come vulnerabili le versioni precedenti alla 2.41 e le versioni 3.0.0 precedenti alla 3.3.13, e segnala la presenza di prove pubbliche di sfruttamento attivo.
Aggiornare e verificare gli ordini
L’aggiornamento non è l’unica misura concreta raccomandata da Drupal: i responsabili dei negozi devono controllare gli ordini per individuare eventuali anomalie. L’avviso segnala un possibile impatto economico per il venditore, anche se Drupal non ha reso pubblici dettagli sul metodo utilizzato negli attacchi né sulla loro portata.
SecurityWeek riferisce che Drupal ha assegnato alla falla un punteggio di rischio di 21 su 25. Secondo la testata, lo sfruttamento non richiede autenticazione ed è possibile indipendentemente dalla configurazione del modulo. Drupal, tuttavia, non ha identificato i responsabili dell’attività né il numero di siti attaccati.
La vulnerabilità si aggiunge ad altri recenti avvisi di sicurezza riguardanti Drupal. BleepingComputer ricorda che a maggio è stata sfruttata un’iniezione SQL identificata come CVE-2026-9082 e che a metà ottobre Drupal ha corretto due vulnerabilità di esecuzione di codice da remoto, CVE-2026-108097 e CVE-2026-108099. Questi precedenti non forniscono dettagli sugli attacchi attuali contro Commerce Core, ma inseriscono l’avviso in una serie di problemi per i quali Drupal ha chiesto di applicare rapidamente le patch.
Per ora, Drupal ha indicato due attività per gli amministratori: installare la versione corretta per il proprio ramo e verificare gli ordini di Commerce Core.
Fonti: BleepingComputer, Canadian Centre for Cyber Security, SecurityWeek
