Drupal advierte explotación activa de un bypass de acceso en Commerce Core

Drupal publicó el 28 de octubre el aviso SA-CONTRIB-2026-254 para Commerce Core, módulo de comercio electrónico. La vulnerabilidad CVE-2026-118539 es un bypass de acceso: rutas y campos de entidades no quedan protegidos de forma suficiente. Drupal la clasifica como de riesgo altamente crítico y confirma explotación activa en el mundo real.

Las versiones anteriores a 2.41 y la rama 3.x anterior a 3.3.13 están afectadas. Drupal recomienda actualizar 3.x a 3.3.13 o una rama anterior a 8.x-2.41. La alerta del Centro Canadiense de Ciberseguridad corrobora que existe explotación reportada. Sitios sin una actualización disponible de inmediato deberían seguir las instrucciones oficiales del proyecto y priorizar aislamiento o medidas compensatorias sin alterar evidencia.

El módulo se usa para tiendas, carritos y flujos de pago. Un bypass de acceso puede exponer o permitir cambios en rutas o campos que impactan pedidos y datos de negocio; Drupal menciona posible perjuicio financiero al comerciante. El aviso no afirma que todos los datos de clientes estén comprometidos ni cuantifica incidentes, por lo que las organizaciones deben investigar su propia exposición.

Administradores deberían inventariar sitios que tengan Commerce Core instalado, confirmar versión efectiva y dependencias, aplicar el parche en producción y revisar registros de solicitudes, modificaciones de pedidos y cambios de cuentas desde el periodo vulnerable. Drupal recomienda auditar pedidos en busca de inconsistencias. Antes de limpiar o restaurar datos, guarden copias de registros y escalen cualquier indicio de abuso.

La alerta define la clase de falla y las versiones, pero no describe públicamente todos los patrones de explotación. Un sitio actualizado reduce el riesgo futuro, aunque no revierte accesos previos. Si se observan pedidos alterados, accesos sospechosos o exposición de información, el incidente puede requerir análisis forense, notificación a clientes y evaluación de obligaciones de protección de datos aplicables en cada jurisdicción.