NoticiasNews

Drupal Commerce: falla de autorización CVE-2026-118539 ya explotada; actualice tiendas y portales de atenciónDrupal Commerce: authorization flaw CVE-2026-118539 already exploited; update stores and service portals

2026-11-02

Drupal advirtió el 30 de octubre de 2026 que la vulnerabilidad CVE-2026-118539, calificada como altamente crítica, en el módulo Commerce Core se está explotando activamente, según The Hacker News. El fallo es una omisión de autorización: el módulo no protege suficientemente ciertas rutas y campos de entidades, lo que permite saltarse controles de acceso.

Versiones afectadas y corregidas

  • Afectadas: Commerce Core desde 0.0.0 hasta 2.41, y desde 3.0.0 hasta 3.3.13 según el aviso citado.
  • Corregidas: actualizar a Commerce Core 3.3.13 en la rama 3.x, o a 8.x-2.41 en versiones anteriores.

Drupal no ha detallado la magnitud de la explotación. Los créditos del hallazgo son de Dan Puccetti, Marcus Johansson y Robert Snyder.

Qué hacer ahora

Quien opere una tienda en línea o un portal de pagos sobre Drupal Commerce debería identificar la versión instalada, probar la actualización en un entorno de pruebas y aplicarla cuanto antes, además de revisar registros de acceso en busca de rutas inusuales. Una caída o una intrusión en la tienda se traduce enseguida en llamadas, mensajes y reclamos de clientes.

Para esos picos de atención, tener un proceso definido marca la diferencia. Servigo365 permite registrar cada reclamo como ticket, con historial, prioridades y SLA en varios canales, y Nexturno ordena la atención presencial cuando los clientes acuden a sucursal o a una tienda física por un problema con su compra en línea. Fuente: The Hacker News (30 de octubre de 2026) y aviso de Drupal.

Drupal warned on October 30, 2026 that CVE-2026-118539, rated highly critical, in the Commerce Core module is being actively exploited, according to The Hacker News. The flaw is an authorization bypass: the module does not sufficiently protect certain routes and entity fields, allowing access controls to be skipped.

Affected and fixed versions

  • Affected: Commerce Core from 0.0.0 through 2.41, and from 3.0.0 through 3.3.13 per the cited advisory.
  • Fixed: update to Commerce Core 3.3.13 on the 3.x branch, or to 8.x-2.41 on older versions.

Drupal has not detailed the scale of exploitation. The finding is credited to Dan Puccetti, Marcus Johansson and Robert Snyder.

What to do now

Anyone running an online store or payment portal on Drupal Commerce should identify the installed version, test the update in a staging environment and apply it promptly, and review access logs for unusual routes. An outage or intrusion at the store quickly turns into calls, messages and complaints from customers.

For those service peaks, a defined process makes the difference. Servigo365 lets teams log each complaint as a ticket, with history, priorities and SLA across channels, and Nexturno organizes in-person service when customers go to a branch or physical store over a problem with an online purchase. Source: The Hacker News (October 30, 2026) and the Drupal advisory.

← Volver al blog← Back to blog