VULNERABILIDAD
Drupal alerta por falla crítica en Commerce Core explotada contra tiendas online
El módulo Commerce Core, usado por más de 42.000 sitios, tiene una falla de omisión de autorización que ya se explota en internet. Drupal pidió actualizar de inmediato y auditar los pedidos.
El equipo de seguridad de Drupal advirtió que una vulnerabilidad calificada como altamente crítica afecta al módulo Commerce Core, el componente que permite montar tiendas y carritos de compra sobre el gestor de contenidos Drupal. La falla fue identificada como CVE-2026-118539 y corresponde a una debilidad de autorización faltante.
Según el aviso de Drupal, el módulo no protege de forma suficiente ciertas rutas y campos de entidad, lo que habilita una omisión de acceso que puede tener impacto financiero para el vendedor. La falla afecta a las versiones 0.0.0 a 2.41 y 3.0.0 a 3.3.13 del módulo.
La organización confirmó que la vulnerabilidad está siendo explotada activamente en internet, aunque no precisó la naturaleza de la actividad ni la dimensión de la campaña. Los investigadores Dan Puccetti, Marcus Johansson y Robert Snyder reportaron el problema.
Drupal pidió a los administradores de la rama 3.x actualizar a Commerce Core 3.3.13 y a quienes usan versiones anteriores pasar a 8.x-2.41, además de auditar los pedidos en busca de inconsistencias que puedan indicar un abuso.
Cómo ocurrió
- Confirmado
- Falla de autorizaciónCVE-2026-118539 en Commerce CoreConfirmado.
- Acceso no autenticadoRutas y campos sin protección suficienteConfirmado.
- Impacto en pedidosPosible afectación financiera al vendedorConfirmado.
- Sitios DrupalMás de 42.000 sitios con el móduloConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Drupal confirmó la existencia de la vulnerabilidad CVE-2026-118539 en el módulo Commerce Core.
- La organización afirmó que la falla está siendo explotada activamente en internet.
- El módulo es utilizado por más de 42.000 sitios, según Drupal.
- Drupal indicó las versiones afectadas y las versiones a las que hay que actualizar.
SIN VERIFICAR O ABIERTO
- No se precisó qué actores están explotando la falla ni con qué método.
- No se informó la cantidad de sitios comprometidos ni el impacto económico concreto.
- No se detalló si hubo robo de datos de clientes o de pagos en los sitios afectados.
Contexto
Commerce Core es un módulo desarrollado por la comunidad que aporta un marco para construir y operar sitios de comercio electrónico y aplicaciones de compra sobre Drupal. Lo usan desde grandes empresas hasta universidades de investigación.
Drupal ya había advertido en mayo de 2026 por la explotación de una inyección SQL en su API de abstracción de base de datos, que la agencia de ciberseguridad estadounidense CISA sumó a su catálogo de vulnerabilidades explotadas y ordenó parchear en tres días. Días antes de este aviso, la organización había corregido dos fallas de ejecución remota de código.
En los últimos años, CISA marcó cinco vulnerabilidades de Drupal explotadas en internet, dos de ellas también aprovechadas por bandas de ransomware, lo que muestra un interés sostenido de los atacantes por este ecosistema.
Qué hacer
- Actualizar Commerce Core ya Aplicar la versión 3.3.13 en la rama 3.x o 8.x-2.41 en versiones anteriores. No postergar el parche porque la falla ya se explota.
- Auditar pedidos y accesos Revisar los pedidos recientes en busca de inconsistencias y verificar qué cuentas o rutas accedieron a información sensible del comercio.
- Revisar permisos del módulo Comprobar la configuración de rutas y campos de entidad del módulo para limitar el acceso no autenticado mientras se completa la actualización.
- Vigilar movimientos financieros Monitorear transacciones y reclamos de clientes por posibles abusos derivados de la omisión de autorización.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
