Falla altamente crítica de Drupal Commerce ya se explota contra tiendas en línea

Drupal confirmó que atacantes explotan una falla de control de accesoConjunto de reglas que decide quién puede ver o modificar cada recurso de un sistema. Una falla de control de acceso deja llegar a datos o funciones a usuarios que no deberían. en Commerce Core, el módulo que agrega carrito de compras y pago a los sitios hechos con Drupal, y pidió a las tiendas en línea actualizar y revisar sus pedidos, según el aviso SA-CONTRIB-2026-254 del 28 de octubre. El equipo de seguridad de Drupal le dio un riesgo de 21 sobre 25, la categoría "altamente crítica", y el módulo está instalado en más de 42.000 sitios, según SecurityWeek.

"Esta vulnerabilidad se está explotando activamente", advierte el aviso, que pide auditar los pedidos en busca de inconsistencias.

Qué es la falla

En simple, el módulo no protege bien algunas de sus rutas y algunos campos de sus datos, y alguien sin cuenta puede llegar a lo que debería estar restringido. Drupal advierte que eso "puede tener un impacto financiero para el vendedor". El aviso no detalla qué se puede modificar ni cómo se aprovecha la falla.

En la capa técnica es una falta de autorización (CWE-862Catálogo público que clasifica los tipos de debilidades del software y el hardware, como los errores de memoria o la falta de cifrado, para nombrarlas de forma común entre fabricantes e investigadores.) que permite acceder a recursos protegidos escribiendo directamente su dirección, según el registro del CVE. La escala de riesgo de Drupal indica que no exige autenticación, que afecta a cualquier configuración del módulo y que ya existe código de ataque.

A quién afecta

• Commerce Core 3.x anteriores a 3.3.13.
• Commerce Core 8.x-2.x anteriores a 8.x-2.41.
• Solo los sitios Drupal que usan el módulo Commerce Core.

Estado de explotación

Explotada. Lo confirma el propio aviso de Drupal. Según SecurityWeek, Drupal no dijo cómo se explota, quién está detrás, cuántos sitios fueron atacados ni si se usó antes de que existiera el parche. La evaluación que CISA, la agencia de ciberseguridad de Estados Unidos, sumó al registro del CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla. el 30 de octubre a las 11:19 UTC (8:19 en Buenos Aires y São Paulo, 6:19 en Bogotá y Lima, 5:19 en Ciudad de México) marcaba la explotación como "ninguna", lo que contradice al aviso de Drupal. La falla tampoco figura en el catálogo de vulnerabilidades explotadas de CISA en su versión del 30 de octubre. No hay datos de tiendas afectadas en Latinoamérica.

Antecedentes

El mismo 28 de octubre, Drupal publicó otros cinco avisos para Commerce Core, todos corregidos en las mismas versiones, y tres para Commerce Stripe, el módulo de pagos con Stripe. Uno de ellos, el SA-CONTRIB-2026-263, corrige una falsificación de solicitudes (CSRF)Ataque que engaña al navegador de un usuario ya conectado, por ejemplo con un enlace, para que envíe a un sitio una orden que el usuario no quiso dar, aprovechando su sesión abierta. que podía dejar un pedido marcado como pagado sin que hubiera pago, si se engañaba a un administrador para que abriera un enlace. Ese aviso no menciona explotación. En mayo, CISA sumó a su catálogo una falla del núcleo de Drupal, CVE-2026-9082.

Qué hacer

• Actualizar a Commerce Core 3.3.13 o, en la rama anterior, a 8.x-2.41.
• Auditar los pedidos recientes y comparar sus estados de pago con los cobros reales registrados en la pasarela de pagoServicio que conecta una tienda en línea con bancos y tarjetas para procesar los cobros. Recibe los datos del pago, pide la autorización y le avisa al comercio si se aprobó..
• Si se usan, actualizar en el mismo paso Commerce Stripe a 2.2.3 u 8.x-1.4 y Commerce Shipping a 3.0.6 u 8.x-2.16.
• Seguir los avisos de seguridad de módulos de Drupal.

Ficha técnica

• CVE-2026-118539, publicado el 30 de octubre de 2026 por Drupal como autoridad emisora.
• CVSS 3.1 de 6,5 (media), calculado por CISA y no por Drupal, vector AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N. Drupal no publica CVSS, y su escala propia le da 21 sobre 25 (AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All).
• CWE-862, falta de autorización.
• Versiones corregidas: Commerce Core 3.3.13 y 8.x-2.41.
• Aviso del fabricante: SA-CONTRIB-2026-254, 28 de octubre de 2026, 16:54 UTC.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: no figura al 30 de octubre de 2026.