Drupal Commerce Core: omisión de autorización crítica explotada

El miércoles 28 de octubre de 2026 el equipo de seguridad de Drupal publicó un aviso clasificado como «highly critical» para Commerce Core, el módulo que añade a un sitio Drupal las funciones de tienda online: catálogo, carrito, checkout y API para aplicaciones desacopladas. La vulnerabilidad, registrada como CVE-2026-118539, es una omisión de autorización (access bypass) que, según el propio aviso, ya se está explotando en ataques reales. Informaron de ella BleepingComputer, The Hacker News y SecurityWeek.

Commerce Core es un módulo desarrollado por la comunidad y, según las estadísticas de Drupal citadas por BleepingComputer y SecurityWeek, lo usan más de 42.000 sitios.

Lo que se sabe

• CVE: CVE-2026-118539. BleepingComputer la describe como una debilidad de falta de autorización (missing authorization).
• Causa: según el aviso de Drupal, citado por ambos medios, el módulo no protege lo suficiente algunas rutas y algunos campos de las entidades. El resultado es un acceso no autorizado que puede tener un impacto económico en el vendedor.
• Gravedad: puntuación de riesgo de Drupal 21 sobre 25 (dato de SecurityWeek). Según esta puntuación, la falla la pueden explotar atacantes no autenticados, sea cual sea la configuración del módulo.
• Explotación: confirmada por Drupal. Sin embargo, según SecurityWeek, Drupal no ha dicho cómo se explota la falla, quién está detrás de los ataques, cuántos sitios se han visto afectados ni si se explotó como zero-day, antes de los parches.
• Indicadores de compromiso: las fuentes no publican ninguno.

Versiones afectadas y versiones corregidas

Los dos medios coinciden en las versiones que hay que instalar:

• rama 3.x: Commerce Core 3.3.13;
• rama anterior (2.x para Drupal 8 y posteriores): Commerce Core 8.x-2.41.

SecurityWeek indica como vulnerables las versiones 3.x anteriores a la 3.3.13 y las de la rama anterior anteriores a la 8.x-2.41. BleepingComputer, en cambio, escribe que están afectadas las versiones «de la 0.0.0 a la 2.41 y de la 3.0.0 a la 3.3.13», una formulación que incluye también los números de las versiones corregidas. Lo que cuenta es el aviso de Drupal: si tienes dudas, comprueba la versión instalada directamente en la página del proyecto.

Cómo encaja el ataque

Las fuentes no describen la cadena de ataque. Por la descripción del aviso solo se sabe que un usuario anónimo puede acceder a rutas o modificar campos de las entidades de Commerce que deberían estar protegidos, y que el efecto para el vendedor es económico: por eso Drupal pide revisar los pedidos en busca de incoherencias. En la clasificación MITRE ATT&CK el escenario corresponde a la explotación de una aplicación expuesta a Internet (T1190, Exploit Public-Facing Application).

El contexto: otros avisos de Drupal

Según SecurityWeek, ese mismo 28 de octubre Drupal publicó otros 38 avisos para 21 proyectos contribuidos. Casi una docena son críticos, entre ellos fallas que pueden llevar a ejecución remota de código, robo de cuentas y pedidos de Commerce pagados con Stripe marcados como pagados sin pago. El módulo CAPTCHA recibió la corrección de una falla moderadamente crítica que permite reenviar un formulario protegido sin resolver un nuevo desafío; la valoración de Drupal indica que existe código de exploit, pero el aviso no habla de explotación. También según SecurityWeek, existen pruebas de concepto para dos fallas de divulgación de información, una en el propio Commerce Core y otra en Media Alias Display.

El 14 de octubre Drupal ya había corregido dos vulnerabilidades críticas de ejecución remota de código, CVE-2026-108097 (módulo Field UI del core) y CVE-2026-108099 (módulo Entity List). Según SecurityWeek no se pueden explotar por sí solas, pero sí con algunos módulos contribuidos o código personalizado, en algunos casos sin autenticación; por ahora no hay noticias públicas de ataques. En mayo, en cambio, se explotó CVE-2026-9082, una inyección SQL en la API de abstracción de la base de datos del core que, según SecurityWeek, afecta a los sitios con PostgreSQL; según BleepingComputer, CISA la añadió al catálogo KEV pocos días después, con tres días de plazo para las agencias federales. BleepingComputer recuerda también que en los últimos años CISA ha señalado 5 vulnerabilidades de Drupal explotadas, dos de ellas usadas por grupos de ransomware.

Por qué importa a las empresas europeas

Drupal está muy extendido en administraciones públicas, universidades y empresas, y Commerce Core es la base de muchas tiendas online y portales de venta, a menudo gestionados por agencias externas. Un acceso que altera pedidos o campos de las entidades de Commerce puede traducirse en pérdidas económicas directas: mercancía enviada sin cobro, precios o estados alterados.

Las fuentes no dicen si el ataque expone también datos personales de los clientes. Si la revisión de los pedidos muestra accesos a datos personales, se aplican las obligaciones del RGPD, con la notificación a la autoridad de control en un plazo de 72 horas cuando hay riesgos para las personas. Para los mercados en línea y las demás entidades dentro del ámbito de la NIS2, la gestión de la vulnerabilidad debe documentarse y cualquier incidente significativo debe evaluarse para su notificación al CSIRT nacional.

Qué hacer ahora

1. Haz el inventario de los sitios Drupal con Commerce Core, incluidos los de pruebas y los gestionados por agencias o proveedores, con la versión exacta del módulo.
2. Actualiza a Commerce Core 3.3.13 o 8.x-2.41 (con Composer el paquete es drupal/commerce), luego vacía las cachés y comprueba que el sitio funciona.
3. Revisa los pedidos, como pide Drupal: compara totales, precios y estados con los pagos realmente cobrados en tu proveedor de pagos y busca pedidos completados o modificados sin un pago correspondiente.
4. Examina los registros del servidor web en busca de peticiones anómalas a las rutas de Commerce y a las API por parte de usuarios no autenticados.
5. Lee los demás avisos del 28 de octubre, en particular el de los pedidos con Stripe si usas ese método de pago, y aplica también las correcciones del core del 14 de octubre.
6. Sigue el aviso de Drupal: en los próximos días podrían llegar detalles sobre la explotación e indicadores.

Cómo ayuda ARXDOME

ARX Expose muestra los servicios públicos de tu empresa y los productos reconocidos, útil para localizar las tiendas online expuestas a Internet; ARX Radar muestra quién está atacando ahora tu perímetro. En los servidores con el agente, los cambios en los archivos de ARX Trace te dicen qué ha cambiado y dónde, como apoyo a la verificación después de la actualización.

Última actualización: 30 de octubre de 2026