El equipo de seguridad de Drupal emitió una alerta para que los administradores apliquen parches a una vulnerabilidad crítica de omisión de acceso en el módulo Commerce Core, la cual está siendo aprovechada activamente por atacantes en entornos reales.
La falla, identificada como CVE-2026-118539, se origina en una debilidad de autorización que puede ser explotada por atacantes no autenticados. Afecta a las versiones de Commerce Core desde la 0.0.0 hasta la 2.41 y desde la 3.0.0 hasta la 3.3.13.
El equipo de seguridad de Drupal solicitó a los administradores de la rama 3.x que actualicen de inmediato a Commerce Core 3.3.13 (o a Commerce Core 8.x-2.41 para versiones anteriores) y que auditen los pedidos en busca de inconsistencias, dado que los actores de amenazas están explotando esta vulnerabilidad en sus ataques.
Este módulo le permite vender bienes y servicios a clientes a través de un carrito de compras y un formulario de pago incluidos o mediante aplicaciones desacopladas a través de API. El módulo no protege suficientemente ciertas rutas y campos de entidades, lo que genera una omisión de acceso que puede impactar financieramente al vendedor. Esta vulnerabilidad está siendo explotada activamente en la naturaleza.
Commerce Core es un módulo de Drupal desarrollado por la comunidad y utilizado por más de 42.000 sitios web, incluidas muchas organizaciones de alto perfil como empresas de Fortune 500 y universidades de investigación. El módulo proporciona un marco de software para crear y operar sitios de comercio electrónico y aplicaciones de compras sobre el sistema de gestión de contenidos Drupal.
En mayo, Drupal también advirtió que atacantes estaban explotando una vulnerabilidad de inyección SQL (CVE-2026-9082) en la API de abstracción de base de datos que podía derivar en escalada de privilegios, revelación de información y ejecución remota de código.
Días después, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) agregó la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV) y ordenó a las agencias federales aplicar los parches en un plazo de tres días.
Hace dos semanas, Drupal corrigió otros dos problemas de seguridad de ejecución remota de código (CVE-2026-108097 y CVE-2026-108099) que podían permitir a los actores de amenazas ejecutar código de forma remota, e instó a los administradores a aplicar las actualizaciones lo antes posible porque los atacantes podrían desarrollar exploits en cuestión de horas o días.
En los últimos años, CISA ha señalado 5 vulnerabilidades de Drupal explotadas en la naturaleza, dos de las cuales también fueron aprovechadas por bandas de ransomware.
- CVE-2026-118539: omisión de acceso crítica en Commerce Core explotada activamente
- Versiones afectadas: 0.0.0 a 2.41 y 3.0.0 a 3.3.13
- Actualización recomendada: Commerce Core 3.3.13 o Commerce Core 8.x-2.41
- Más de 42.000 sitios web utilizan el módulo Commerce Core
- CISA ha registrado 5 vulnerabilidades de Drupal explotadas en los últimos años
Deja una respuesta