Drupal advirtió que atacantes explotan activamente una vulnerabilidad calificada como “altamente crítica” en Commerce Core. Este módulo permite vender productos y servicios mediante carrito de compras, formulario de pago o aplicaciones conectadas por API. Las empresas con tiendas en línea sobre Drupal enfrentan un riesgo directo de impacto financiero.
La falla, identificada como CVE-2026-118539, corresponde a una ausencia de controles de autorización. Según el aviso oficial de Drupal, el módulo no protege lo suficiente ciertas rutas y campos de entidades. En la práctica, un atacante puede acceder a funciones o modificar datos que deberían estar restringidos. Drupal advierte que esta omisión de acceso “puede afectar financieramente al vendedor”. El aviso aún no asigna una puntuación CVSS, la escala estándar de severidad de vulnerabilidades.
El aviso ubica las versiones afectadas entre la 0.0.0 y la 2.41, y entre la 3.0.0 y la 3.3.13. Drupal confirmó la explotación activa, pero no detalló la naturaleza de los ataques ni su alcance. Los investigadores Dan Puccetti, Marcus Johansson y Robert Snyder reportaron la falla.
La noticia coincide con otra amenaza para el ecosistema PHP, el lenguaje sobre el que funciona Drupal. Dos vulnerabilidades críticas en PHP, CVE-2026-109618 y CVE-2026-109619 (CVSS 9.2), conocidas en conjunto como PHP2Shell, registran intentos de explotación. Según Wiz, al 25 de octubre el 52,1 % de las organizaciones seguía significativamente afectado. Wiz observó intentos basados en pruebas de concepto públicas, es decir, código de demostración del ataque. También detectó herramientas con la marca PHP2Shell que en realidad usan envenenamiento de sesión y otra vulnerabilidad de inclusión local de archivos (LFI). Esta técnica obliga a la aplicación a cargar archivos del propio servidor. Los investigadores señalan que las diferencias entre configuraciones de PHP dificultan que los atacantes logren una cadena de explotación confiable.
Drupal recomienda actualizar de inmediato. En la rama 3.x, la versión indicada es Commerce Core 3.3.13. En versiones anteriores, la versión indicada es Commerce Core 8.x-2.41. Conviene confirmar en el aviso oficial que la versión instalada quede efectivamente corregida. Después de actualizar, revise pedidos, precios, descuentos y registros de acceso recientes en busca de cambios no autorizados. Aplique también los parches de PHP disponibles en sus servidores.
Qué significa para tu empresa: si su comercio electrónico funciona sobre Drupal, actualice Commerce Core esta semana y audite las transacciones de los últimos días. En nuestra experiencia, las tiendas en línea suelen quedarse atrás en parches por miedo a interrumpir las ventas. Por eso recomendamos un WAF para aplicaciones, un firewall especializado en tráfico web. Este control filtra peticiones maliciosas hacia rutas sensibles mientras se valida y despliega la actualización.
Fuente original: The Hacker News — ver artículo →