Drupal pide parchar ya una falla crítica de Commerce Core que se explota contra tiendas en línea

La vulnerabilidad CVE-2026-118539 permite saltarse controles de acceso sin autenticación. El módulo lo usan más de 42,000 sitios de comercio electrónico.

El equipo de seguridad de Drupal advirtió a los administradores que actualicen de inmediato el módulo Commerce Core por una falla crítica de acceso que los atacantes ya explotan, informaron BleepingComputer y SecurityWeek el 30 de octubre de 2026.

La vulnerabilidad, CVE-2026-118539, es una falta de autorización que puede aprovechar un atacante sin autenticarse. Afecta las versiones 0.0.0 a 2.41 y 3.0.0 a 3.3.13. Drupal pide actualizar a Commerce Core 3.3.13, o a la 8.x-2.41 en las ramas anteriores, y revisar los pedidos en busca de inconsistencias.

«El módulo no protege lo suficiente ciertas rutas y campos de entidades, lo que lleva a un salto de acceso que puede afectar financieramente al vendedor. Esta vulnerabilidad se está explotando activamente», dijo Drupal en su aviso, marcado como altamente crítico.

Commerce Core es un módulo comunitario que usan más de 42,000 sitios, entre ellos empresas Fortune 500 y universidades, para montar tiendas y aplicaciones de compra sobre Drupal. En mayo, Drupal ya había alertado de otra falla de inyección SQL explotada, y hace dos semanas corrigió dos fallas de ejecución remota de código.

Fuentes: BleepingComputer: «Drupal warns of critical Commerce Core flaw exploited in attacks», 30 de octubre de 2026; SecurityWeek: «Drupal Commerce Core Vulnerability Exploited Against Online Stores», 30 de octubre de 2026.