El fallo de omisión de autorización en Drupal Commerce Core ya se explota activamente

Las tiendas online construidas sobre Drupal tienen hoy una tarea urgente de parcheo. El equipo de seguridad de Drupal ha confirmado que una debilidad de control de acceso calificada como "highly critical" en el módulo Commerce Core, identificada como CVE-2026-118539, ya está siendo explotada activamente.

Qué ha ocurrido

Commerce Core es el módulo que convierte un sitio Drupal en una tienda. Proporciona el carrito y el flujo de pago, y además expone los datos comerciales a front-ends desacoplados mediante APIs. El fallo es un caso de falta de autorización: ciertas rutas y campos de entidad no están suficientemente protegidos, de modo que peticiones que deberían rechazarse se procesan. Drupal describe el resultado como una omisión de acceso que puede tener impacto económico para el comerciante, lo que en un contexto de comercio electrónico significa pedidos, precios o datos de clientes leídos o modificados por alguien sin derecho a tocarlos.

Están afectadas todas las versiones de Commerce Core anteriores a 8.x-2.41 en la rama antigua y todas las versiones 3.x anteriores a 3.3.13. Todavía no se ha publicado una puntuación CVSS, pero la calificación "highly critical" de Drupal se sitúa cerca del máximo de su propia escala de severidad.

Drupal ha declarado que la explotación ya está en marcha, pero no ha compartido quién está detrás de la actividad, cuál es su alcance ni qué hacen los atacantes tras una omisión exitosa. Tome ese silencio como motivo para actuar más rápido, no más despacio.

Por qué importa

Tres factores hacen este caso incómodo:

• El objetivo es el dinero. Una omisión de autorización en un sistema de pago se monetiza de inmediato: manipulación de precios, alteración de pedidos o recolección silenciosa de datos de clientes y de pago.
• La superficie de ataque suele ser invisible para el dueño de la tienda. Los escaparates desacoplados y las integraciones headless hablan con Commerce Core a través de APIs que rara vez se monitorizan con el mismo rigor que las páginas públicas.
• Los sitios de comercio se actualizan despacio. Las tiendas evitan tocar producción en épocas de alta demanda, y el final de octubre marca el inicio de la temporada alta para muchos minoristas. Los atacantes lo saben.

El contexto más amplio: PHP

El aviso de Drupal llega mientras el propio PHP está bajo presión. Dos vulnerabilidades críticas en el runtime de PHP, CVE-2026-109618 y CVE-2026-109619 (ambas con CVSS 9.2 y conocidas en conjunto como PHP2Shell), también registran intentos de explotación. Los datos de exposición disponibles sugieren que algo más de la mitad de las organizaciones (52,1%) seguían significativamente afectadas a 25 de octubre. Es menos que a principios de mes, pero sigue siendo demasiado.

La actividad observada se divide en dos grupos: intentos que siguen el mecanismo del exploit público de prueba de concepto, y herramientas oportunistas con la "marca" PHP2Shell que en realidad se apoyan en envenenamiento de sesiones y en una vulnerabilidad separada de inclusión local de archivos, no en los nuevos CVE. La explotación fiable es más difícil de lo que sugiere el ruido, porque las diferencias entre compilaciones de PHP, límites de memoria y comportamiento de los workers pueden romper las etapas posteriores de la cadena. Eso retrasa, pero no protege. Como Drupal corre sobre PHP, una tienda rezagada en ambos frentes está doblemente expuesta.

Qué hacer

1. Actualice Commerce Core ahora. Los sitios en la rama 3.x deben pasar a 3.3.13; los de la rama antigua, a 8.x-2.41. Programe la ventana de mantenimiento hoy, no en el próximo sprint.
2. Parchee también PHP. Confirme que su runtime incluye las correcciones de CVE-2026-109618 y CVE-2026-109619, también en los servidores de staging y de build.
3. Revise los registros de comercio durante la ventana de explotación. Busque peticiones no autenticadas o de bajo privilegio contra rutas y endpoints de API de pedidos, carrito, pagos o productos, y cambios inesperados en precios, promociones o estados de pedido.
4. Asuma manipulación hasta demostrar lo contrario. Si no puede descartar el abuso de los campos expuestos, revalide los pedidos recientes y rote las credenciales o claves de API guardadas en la configuración de comercio.
5. Inventaríe cada instancia de Drupal. La tienda de staging olvidada o el escaparate regional con un Commerce Core antiguo es el blanco más probable.

Fallos como este son exactamente lo que el escaneo continuo de vulnerabilidades está diseñado para detectar a tiempo. Nuestro escaneo identifica módulos de Drupal y versiones de PHP desactualizados en todo su perímetro web y los contrasta con los CVE explotados activamente, de modo que un aviso "highly critical" se convierte en un ticket priorizado y no en un informe de incidente.