Drupal ha alertado a la comunidad de que actores de amenazas están explotando activamente una vulnerabilidad de seguridad altamente crítica dentro de su componente Commerce Core. Esta falla, rastreada como CVE-2026-118539, se origina en controles de autorización faltantes e impacta las versiones de Commerce Core que van desde la 0.0.0 hasta la 2.41, así como las versiones 3.0.0 a 3.3.13. Según un comunicado emitido por Drupal, el módulo facilita la venta de bienes y servicios mediante carritos de compras, formularios de pago o aplicaciones desacopladas a través de APIs.
El problema de seguridad surge porque el módulo no protege suficientemente ciertas rutas y campos de entidades, creando una elusión de acceso que podría afectar financieramente a los proveedores. Si bien el marco de gestión de contenido de código abierto confirmó que la vulnerabilidad está siendo explotada activamente en entornos reales, no proporcionó detalles específicos sobre la naturaleza de los ataques ni la escala de la campaña.
Para mitigar este riesgo, se insta a los usuarios a actualizar sus sistemas inmediatamente. Aquellos que ejecutan la versión 3.x deben actualizar a Commerce Core 3.3.13, mientras que los usuarios de versiones anteriores deben actualizar a Commerce Core 8.x-2.41. Drupal ha acreditado a los investigadores Dan Puccetti, Marcus Johansson y Robert Snyder por reportar la falla.
Este incidente ocurre junto con intentos de explotación activa dirigidos a dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, conocidas colectivamente como PHP2Shell. Los datos de Wiz, propiedad de Google, indican que, al 25 de octubre, el porcentaje de organizaciones significativamente afectadas por PHP2Shell ha disminuido al 52,1%. Los investigadores de Wiz Yaara Shriki, Shahar Dorfman, Alma Blachsan y Yaron Samuel señalaron dos tipos de actividades: intentos que coinciden con exploits públicos de demostración de concepto y el uso de herramientas con la marca PHP2Shell que dependen del envenenamiento de sesiones y una vulnerabilidad separada de inclusión de archivos locales. Los investigadores observaron que provocar solo el agotamiento de la memoria a menudo es insuficiente para completar la cadena de explotación debido a las variaciones en las compilaciones de PHP y los límites de memoria, lo que presenta desafíos para los atacantes oportunistas que intentan operacionalizar demostraciones de concepto públicas.
Fuentes: The Hacker News.