Drupal advierte sobre una vulnerabilidad crítica de salto de acceso en el módulo Commerce Core (CVE-2026-118539) que está siendo explotada activamente. Este fallo permite que atacantes no autenticados afecten financieramente a los vendedores, por lo que se insta a los administradores a actualizar inmediatamente a las versiones 3.3.13 o 2.41. El módulo es utilizado por más de 42,000 sitios, incluyendo universidades y empresas Fortune 500.





Drupal ha advertido a los administradores que parcheen una vulnerabilidad crítica de omisión de acceso en el módulo Commerce Core que los atacantes están explotando activamente.

Identificada como CVE-2026-118539, este fallo se debe a una debilidad por falta de autorización que puede ser aprovechada por atacantes no autenticados y afecta a las versiones de Commerce Core de la 0.0.0 a la 2.41 y de la 3.0.0 a la 3.3.13.

El equipo de seguridad de Drupal pidió a los administradores de la rama 3.x que actualicen inmediatamente a Commerce Core 3.3.13 (o Commerce Core 8.x-2.41 para versiones anteriores) y auditen los pedidos en busca de inconsistencias, ya que los actores de amenazas están explotando esta vulnerabilidad en ataques.

"Este módulo le permite vender bienes y servicios a los clientes a través de un carrito de compras y un formulario de pago incluidos o a través de aplicaciones desacopladas mediante API", afirmó Drupal en un aviso del miércoles calificado como altamente crítico.

"El módulo no protege suficientemente ciertas rutas y campos de entidad, lo que provoca una omisión de acceso que puede impactar financieramente al vendedor. Esta vulnerabilidad está siendo explotada activamente".

Commerce Core es un módulo de Drupal desarrollado por la comunidad utilizado por más de 42,000 sitios web ([enlace]), incluyendo muchas organizaciones de alto perfil como empresas Fortune 500 y universidades de investigación.

El módulo proporciona un marco de software para construir y ejecutar sitios de comercio electrónico y aplicaciones de compras sobre el Sistema de Gestión de Contenidos (CMS) Drupal.

En mayo, Drupal también advirtió que los atacantes estaban explotando una vulnerabilidad de inyección SQL (CVE-2026-9082) en la API de abstracción de la base de datos que podría conducir a la escalada de privilegios, la divulgación de información y la ejecución remota de código.

Días después, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió el fallo a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) ([enlace]) y ordenó a las agencias federales parchear sus sistemas en un plazo de tres días.

Hace dos semanas, Drupal parcheó otros dos problemas de seguridad de ejecución remota de código (CVE-2026-108097 y CVE-2026-108099) que podrían permitir a los actores de amenazas ejecutar código remotamente, e instó a los administradores a aplicar las actualizaciones lo antes posible porque los atacantes podrían desarrollar exploits "en cuestión de horas o días".

En los últimos años, CISA ha señalado 5 vulnerabilidades de Drupal ([enlace]) explotadas activamente, dos de las cuales también han sido abusadas por bandas de ransomware.

Fuente:
BleepingComputer