Atacantes explotan vulnerabilidad crítica en el núcleo de Drupal Commerce CVE-2026-118539.

⟫ 31/10/2026 ⟫ Pierluigi Paganini

Fuente: Security Affairs

### Introducción contextual

En el ámbito de la ciberseguridad, las vulnerabilidades en plataformas de gestión de contenido (CMS) como Drupal pueden tener repercusiones significativas para empresas y usuarios que dependen de estas herramientas para gestionar sus tiendas en línea. Recientemente, se ha descubierto una vulnerabilidad crítica en el módulo Commerce Core de Drupal, identificada como CVE-2026-118539. Esta situación es especialmente preocupante dado que la brecha de seguridad permite a los atacantes eludir controles de autorización, exponiendo a los comerciantes a riesgos financieros considerables. La explotación activa de esta vulnerabilidad en la naturaleza resalta la necesidad urgente de que las organizaciones tomen medidas proactivas para proteger sus sistemas.

### Detalles técnicos

La vulnerabilidad CVE-2026-118539 se origina en la falta de controles de autorización adecuados en el módulo Commerce Core de Drupal, que permite a los sitios web vender productos y servicios a través de carritos de compra y formularios de pago, así como mediante aplicaciones desacopladas a través de APIs. Los actores maliciosos pueden aprovechar esta debilidad para eludir restricciones de acceso en ciertas rutas y campos de entidad, lo que puede resultar en un acceso no autorizado a datos que deberían estar protegidos. La vulnerabilidad se clasifica como una falla de "Fuerza Bruta" en la navegación, lo que implica que los atacantes pueden manipular solicitudes web para obtener acceso a recursos restringidos.

Las versiones afectadas del módulo Commerce Core incluyen desde la 0.0.0 hasta la 2.41 y desde la 3.0.0 hasta la 3.3.13. Esta variedad de versiones en riesgo indica que muchos usuarios podrían estar expuestos si no actualizan a las versiones más recientes.

### Datos fácticos

La vulnerabilidad fue reportada por investigadores de seguridad reconocidos: Dan Puccetti, Marcus Johansson y Robert Snyder. La confirmación de que la vulnerabilidad está siendo activamente explotada en la naturaleza proviene de los mantenedores del proyecto de código abierto. Esto subraya la gravedad de la situación, ya que los atacantes han comenzado a utilizar esta brecha para comprometer sistemas en producción.

### Impacto y consecuencias

El impacto de esta vulnerabilidad es significativo, especialmente para las empresas que utilizan Drupal para gestionar sus transacciones en línea. La posibilidad de que un atacante pueda eludir controles de autorización y acceder a datos sensibles podría resultar en pérdidas financieras directas, así como en daños a la reputación de la marca. Además, la exposición de información sensible podría llevar a violaciones de datos, lo que a su vez podría resultar en sanciones legales y regulatorias para las empresas afectadas. La situación es aún más crítica dado que la vulnerabilidad se suma a otras brechas de seguridad recientes en Drupal, como la SQL injection CVE-2026-9082, que también se ha visto activa en el entorno.

### Contexto histórico

El descubrimiento de la vulnerabilidad CVE-2026-118539 no es un incidente aislado. En mayo de este año, Drupal ya alertó sobre una vulnerabilidad de inyección SQL que permitía a los atacantes obtener privilegios elevados y ejecutar código malicioso. Estos incidentes reflejan una tendencia creciente en la explotación de vulnerabilidades en sistemas de gestión de contenido, lo que pone de manifiesto la necesidad de mantener una vigilancia constante y una actualización regular de los sistemas.

### Recomendaciones

Ante esta situación, Drupal recomienda encarecidamente a todos los usuarios que actualicen sus instalaciones a la versión más reciente disponible. Para aquellos que operan con la rama 3.x, la actualización a la versión 3.3.13 es esencial, mientras que los usuarios de versiones anteriores deben migrar a Commerce Core 8.x-2.41. Además, es recomendable implementar una revisión exhaustiva de la configuración de seguridad y los accesos a las APIs utilizadas por el módulo, para reducir el riesgo de explotación. La vigilancia y protección continua son clave para salvaguardar la integridad de los datos y la estabilidad de las operaciones comerciales en el entorno digital actual.

◢ VULNERABILIDADES ◣

Attackers Exploit Critical Drupal Commerce Core Vulnerability CVE-2026-118539

⟫ 31/10/2026 ⟫ Pierluigi Paganini

Source: Security Affairs

Drupal warns that threat actors are exploiting a highly critical security flaw, tracked asCVE-2026-118539, in its Commerce Core module. The vulnerability is caused by missing authorization checks. “This module enables you to sell goods and services to customers through an included shopping cart and checkout form or through decoupled applications via APIs. The module doesn’t sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor.”reads the advisory. This vulnerability is being actively exploited in the wild.” The module allows websites to sell products and services through shopping carts, checkout forms, and APIs. “Missing Authorization vulnerability in Drupal Commerce Core allows Forceful Browsing. This issue affects Commerce Core versions: from 0.0.0 to 2.41, from 3.0.0 to 3.3.13.” reads the advisory. Researchers Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson), and Robert Snyder (rsnyd) reported the vulnerability. The maintainers at the open-source project confirmed that the vulnerability is being actively exploited in the wild. Drupal recommends that users update their installations to the latest available release. Those running the 3.x branch should upgrade to version 3.3.13, while users on earlier releases should move to Commerce Core 8.x-2.41. In May, Drupal warned that attackers were exploiting an SQL injection flaw, tracked asCVE-2026-9082, in its database abstraction API. The vulnerability could allow attackers to gain higher privileges, access sensitive information, and execute malicious code remotely. The US Cybersecurity and Infrastructure Security Agency (CISA)addedthe flaw to its Known Exploited Vulnerabilities (KEV) Catalog. Follow me on Twitter:@securityaffairsandFacebookandMastodon Pierluigi Paganini (SecurityAffairs– hacking, CVE-2026-118539)

← VOLVER A CIBERSEGURIDAD