Falha de contorno de autorização no Drupal Commerce Core já está a ser explorada

As lojas online construídas em Drupal têm hoje uma atualização urgente pela frente. A equipa de segurança da Drupal confirmou que uma fragilidade de controlo de acesso classificada como "highly critical" no módulo Commerce Core, identificada como CVE-2026-118539, já está a ser explorada ativamente.

O que aconteceu

O Commerce Core é o módulo que transforma um site Drupal numa loja. Fornece o carrinho e o fluxo de checkout e expõe ainda os dados comerciais a front-ends desacoplados através de APIs. A falha é um caso de falta de autorização: certas rotas e campos de entidade não estão suficientemente protegidos, pelo que pedidos que deviam ser rejeitados acabam processados. A Drupal descreve o resultado como um contorno de acesso que pode ter impacto financeiro para o comerciante, o que, num contexto de comércio eletrónico, significa encomendas, preços ou dados de clientes lidos ou alterados por alguém sem qualquer direito a tocar-lhes.

Estão afetadas todas as versões do Commerce Core anteriores à 8.x-2.41 no ramo antigo e todas as versões 3.x anteriores à 3.3.13. Ainda não foi publicada uma pontuação CVSS, mas a classificação "highly critical" atribuída pela Drupal fica perto do topo da sua própria escala de severidade.

A Drupal declarou que a exploração já está em curso, mas não partilhou quem está por trás da atividade, qual a sua dimensão nem o que os atacantes fazem depois de um contorno bem-sucedido. Encare esse silêncio como motivo para agir mais depressa, não mais devagar.

Porque é que importa

Três fatores tornam este caso desconfortável:

• O alvo é o dinheiro. Um contorno de autorização num sistema de checkout é imediatamente monetizável: manipulação de preços, alteração de encomendas ou recolha silenciosa de dados de clientes e de pagamento.
• A superfície de ataque é muitas vezes invisível para o dono da loja. As montras desacopladas e as integrações headless comunicam com o Commerce Core através de APIs que raramente são monitorizadas com o mesmo rigor que as páginas públicas.
• Os sites de comércio atualizam-se devagar. As lojas evitam mexer em produção em períodos de grande movimento, e o final de outubro marca o início da época alta para muitos retalhistas. Os atacantes sabem-no.

O contexto mais amplo: PHP

O aviso da Drupal chega numa altura em que o próprio PHP está sob pressão. Duas vulnerabilidades críticas no runtime do PHP, CVE-2026-109618 e CVE-2026-109619 (ambas com CVSS 9,2 e conhecidas em conjunto como PHP2Shell), também registam tentativas de exploração. Os dados de exposição disponíveis sugerem que pouco mais de metade das organizações (52,1%) continuavam significativamente afetadas a 25 de outubro. É menos do que no início do mês, mas continua a ser demasiado.

A atividade observada divide-se em dois grupos: tentativas que seguem o mecanismo do exploit público de prova de conceito e ferramentas oportunistas com a "marca" PHP2Shell que, na verdade, assentam em envenenamento de sessões e numa vulnerabilidade separada de inclusão local de ficheiros, e não nas novas CVE. A exploração fiável é mais difícil do que o ruído sugere, porque diferenças entre builds de PHP, limites de memória e comportamento dos workers podem quebrar as fases seguintes da cadeia. Isso atrasa, mas não protege. Como o Drupal corre sobre PHP, uma loja atrasada em ambas as frentes está duplamente exposta.

O que fazer

1. Atualize o Commerce Core agora. Os sites no ramo 3.x devem passar para a 3.3.13; os do ramo antigo, para a 8.x-2.41. Agende a janela de manutenção hoje, não no próximo sprint.
2. Corrija também o PHP. Confirme que o runtime inclui as correções para a CVE-2026-109618 e a CVE-2026-109619, incluindo nos servidores de staging e de build.
3. Reveja os registos de comércio na janela de exploração. Procure pedidos não autenticados ou com privilégios baixos contra rotas e endpoints de API de encomendas, carrinho, pagamentos ou produtos, e alterações inesperadas em preços, promoções ou estados de encomenda.
4. Assuma manipulação até prova em contrário. Se não conseguir excluir o abuso dos campos expostos, revalide as encomendas recentes e rode quaisquer credenciais ou chaves de API guardadas na configuração de comércio.
5. Inventarie todas as instâncias Drupal. A loja de staging esquecida ou a montra regional com um Commerce Core antigo é o alvo mais provável.

Falhas como esta são exatamente o que a análise contínua de vulnerabilidades foi concebida para apanhar cedo. A nossa análise identifica módulos Drupal e versões de PHP desatualizados em todo o seu perímetro web e cruza-os com as CVE exploradas ativamente, para que um aviso "highly critical" se transforme num ticket priorizado e não num relatório de incidente.