Drupal Commerce Core: bypass di autorizzazione critico sfruttato

Mercoledì 28 ottobre 2026 il team di sicurezza di Drupal ha pubblicato un avviso classificato «highly critical» per Commerce Core, il modulo che aggiunge a un sito Drupal le funzioni di negozio online: catalogo, carrello, checkout e API per le applicazioni disaccoppiate. La vulnerabilità, tracciata come CVE-2026-118539, è un bypass di autorizzazione che, secondo lo stesso avviso, è già sfruttato in attacchi reali. Ne hanno dato notizia BleepingComputer, The Hacker News e SecurityWeek.

Commerce Core è un modulo sviluppato dalla comunità e, secondo le statistiche di Drupal riportate da BleepingComputer e SecurityWeek, è usato da oltre 42.000 siti.

Cosa si sa

• CVE: CVE-2026-118539. BleepingComputer la descrive come una debolezza di mancata autorizzazione (missing authorization).
• Causa: secondo l’avviso di Drupal, citato da entrambe le testate, il modulo non protegge a sufficienza alcune route e alcuni campi delle entità. Il risultato è un accesso non autorizzato che può avere un impatto economico sul venditore.
• Gravità: punteggio di rischio Drupal 21 su 25 (dato riportato da SecurityWeek). Secondo questo punteggio la falla è sfruttabile da attaccanti non autenticati, qualunque sia la configurazione del modulo.
• Sfruttamento: confermato da Drupal. Secondo SecurityWeek, però, Drupal non ha detto come viene sfruttata la falla, chi c’è dietro gli attacchi, quanti siti sono stati colpiti, né se sia stata sfruttata come zero-day, prima delle patch.
• Indicatori di compromissione: le fonti non ne riportano.

Versioni colpite e versioni corrette

Le due testate concordano sulle versioni da installare:

• ramo 3.x: Commerce Core 3.3.13;
• ramo precedente (2.x per Drupal 8 e successivi): Commerce Core 8.x-2.41.

SecurityWeek indica come vulnerabili le versioni 3.x precedenti alla 3.3.13 e quelle del ramo precedente anteriori alla 8.x-2.41. BleepingComputer scrive invece che sono colpite le versioni «da 0.0.0 a 2.41 e da 3.0.0 a 3.3.13», una formulazione che comprende anche i numeri delle versioni corrette. Fa fede l’avviso di Drupal: in caso di dubbio, verifica la versione installata direttamente sulla pagina del progetto.

Come si colloca l’attacco

Le fonti non descrivono la catena di attacco. Dalla descrizione dell’avviso si capisce solo che un utente anonimo può raggiungere route o modificare campi delle entità di Commerce che dovrebbero essere protetti, e che l’effetto riguarda il venditore sul piano economico: per questo Drupal chiede di controllare gli ordini alla ricerca di incongruenze. Nella classificazione MITRE ATT&CK lo scenario rientra nello sfruttamento di un’applicazione esposta su Internet (T1190, Exploit Public-Facing Application).

Il contesto: altri avvisi per Drupal

Secondo SecurityWeek, lo stesso 28 ottobre Drupal ha pubblicato altri 38 avvisi per 21 progetti contribuiti. Quasi una dozzina sono critici, tra cui falle che possono portare a esecuzione di codice remoto, furto di account e ordini Commerce pagati tramite Stripe segnati come pagati senza pagamento. Il modulo CAPTCHA ha ricevuto la correzione di una falla moderatamente critica che permette di inviare di nuovo un modulo protetto senza risolvere una nuova sfida; la valutazione di Drupal indica che esiste codice di exploit, ma l’avviso non parla di sfruttamento. Sempre secondo SecurityWeek, esistono proof of concept per due falle di divulgazione di informazioni, una nello stesso Commerce Core e una in Media Alias Display.

Il 14 ottobre Drupal aveva già corretto due vulnerabilità critiche di esecuzione di codice remoto, CVE-2026-108097 (modulo Field UI del core) e CVE-2026-108099 (modulo Entity List). Secondo SecurityWeek non sono sfruttabili da sole, ma lo diventano con alcuni moduli contribuiti o codice personalizzato, in certi casi senza autenticazione; finora non ci sono notizie pubbliche di attacchi. A maggio era stata invece sfruttata CVE-2026-9082, una SQL injection nell’API di astrazione del database del core che, secondo SecurityWeek, riguarda i siti con PostgreSQL; secondo BleepingComputer la CISA l’aveva aggiunta al catalogo KEV pochi giorni dopo, con tre giorni di tempo per le agenzie federali. BleepingComputer ricorda anche che negli ultimi anni la CISA ha segnalato 5 vulnerabilità di Drupal sfruttate, due delle quali usate da gruppi ransomware.

Perché conta per le aziende europee e italiane

Drupal è diffuso nella pubblica amministrazione, nelle università e nelle aziende, e Commerce Core è la base di molti negozi online e portali di vendita, spesso gestiti da agenzie esterne. Un accesso che altera ordini o campi delle entità di Commerce può tradursi in perdite economiche dirette: merce spedita senza incasso, prezzi o stati alterati.

Le fonti non dicono se l’attacco esponga anche dati personali dei clienti. Se la verifica degli ordini mostra accessi a dati personali, scattano gli obblighi del GDPR, con la notifica al Garante entro 72 ore quando ci sono rischi per le persone. Per i marketplace online e gli altri soggetti nel perimetro della NIS2, la gestione della vulnerabilità va documentata e un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario dei siti Drupal con Commerce Core, compresi quelli di test e quelli gestiti da agenzie o fornitori, con la versione esatta del modulo.
2. Aggiorna a Commerce Core 3.3.13 o 8.x-2.41 (con Composer il pacchetto è drupal/commerce), poi svuota le cache e verifica che il sito funzioni.
3. Controlla gli ordini, come chiede Drupal: confronta totali, prezzi e stati con i pagamenti effettivamente incassati presso il gestore dei pagamenti, e cerca ordini completati o modificati senza un pagamento corrispondente.
4. Esamina i log del server web per richieste anomale verso le route di Commerce e le API da parte di utenti non autenticati.
5. Leggi gli altri avvisi del 28 ottobre, in particolare quello sugli ordini via Stripe se usi quel metodo di pagamento, e applica anche le correzioni del 14 ottobre al core.
6. Segui l’avviso di Drupal: dettagli sullo sfruttamento e indicatori potrebbero arrivare nei prossimi giorni.

Come aiuta ARXDOME

ARX Expose mostra i servizi pubblici della tua azienda e i prodotti riconosciuti, utile per individuare i negozi online esposti su Internet; ARX Radar mostra chi sta attaccando adesso il tuo perimetro. Sui server con l’agent, le modifiche ai file di ARX Trace dicono cosa è cambiato e dove, a supporto della verifica dopo l’aggiornamento.

Ultimo aggiornamento: 30 ottobre 2026