Drupal confirma exploração ativa de falha crítica no Commerce Core
O Drupal confirmou que a falha CVE-2026-118539, de autorização ausente no módulo Commerce Core, está sendo explorada ativamente em ataques. O módulo é usado em mais de 42.000 sites, segundo estatísticas do Drupal, e há duas versões corrigidas: 8.x-2.41 e 3.3.13. Atualize imediatamente e audite os pedidos da loja em busca de inconsistências, como o próprio Drupal recomenda.
O que aconteceu
O Drupal confirmou que atacantes exploram ativamente uma falha crítica de autorização no módulo Commerce Core, usado em mais de 42.000 sites, segundo estatísticas do próprio Drupal. A falha permite desviar controles de acesso por atacantes não autenticados, em qualquer configuração do módulo. O Drupal não informou como os ataques ocorrem, quem está atrás nem quantos sites foram afetados.
Por que importa
O Commerce Core adiciona carrinho de compras e checkout a sites Drupal. Segundo o aviso do Drupal, o desvio de acesso pode causar impacto financeiro ao vendedor, e a recomendação de auditar pedidos indica risco de transações comprometidas. Lojas que não atualizarem permanecem expostas a ataques em andamento.
O que fazer
Atualizar o Commerce Core agora para 8.x-2.41 ou 3.3.13, as duas versões corrigidas, e auditar todos os pedidos da loja em busca de inconsistências. Aproveitar para revisar os outros 38 avisos publicados pelo Drupal em 28 de outubro, quase uma dúzia deles críticos.
Para o time técnico
- CVE
- CVE-2026-118539
- Afetados
- Drupal Commerce Core (falha de bypass de controle de acesso) · Commerce Core 3.x anteriores a 3.3.13 e versões anteriores a 8.x-2.41 (SecurityWeek). The Hacker News lista 0.0.0 a 2.41 e 3.0.0 a 3.3.13.
- Exploração
- Exploração ativa confirmada pelo Drupal. O Drupal não detalhou o método, os autores, o número de sites afetados nem se houve exploração como zero-day antes da correção (SecurityWeek).
- Correção
- Atualizar para 8.x-2.41 ou 3.3.13, as duas versões corrigidas (SecurityWeek). Auditoria dos pedidos da loja como verificação pós-atualização.
- Vetor
- Módulo contribuído Commerce Core do Drupal (e-commerce com carrinho e checkout). Falha de autorização ausente: rotas e campos de entidade sem proteção suficiente permitem desviar controles de acesso. Segundo a pontuação de risco do Drupal (21/25), atacantes não autenticados podem explorá-la independentemente da configuração do módulo. CVSS: N/A (The Hacker News).
- Mais detalhes
- A Drupal publicou 38 avisos em 28 de outubro cobrindo 21 projetos contribuídos; quase uma dúzia críticos, incluindo execução remota de código, tomada de contas e pedidos via Stripe marcados como pagos sem pagamento. PoCs existem para duas falhas de divulgação de informações, uma no Commerce Core e outra no Media Alias Display. O módulo CAPTCHA recebeu correção para falha moderada que permite reenviar formulário protegido sem novo desafio; a pontuação do Drupal indica código de exploração em circulação, sem menção a exploração ativa. Em 14 de outubro, o Drupal corrigiu CVE-2026-108097 (Field UI) e CVE-2026-108099 (Entity List), ambas RCE críticas que dependem de outros módulos ou código customizado, sem relatos públicos de exploração. CVE-2026-9082, injeção SQL na API de abstração de banco do core (PostgreSQL), atraiu tentativas de exploração em maio.
Linha do tempo
Drupal caracteriza a falha como bypass de controle de acesso e recomenda que lojistas auditem seus pedidos.
BleepingComputer repercute o aviso da Drupal sobre a falha crítica no Commerce Core já explorada em ataques.
Aviso do Drupal detalha as versões afetadas: Commerce Core de 0.0.0 a 2.41 e de 3.0.0 a 3.3.13.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 4 atualizações
Incidente aberto.
Fontes 4 fontes
- @TheHackersNews @TheHackersNews
- Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw The Hacker News
- @BleepinComputer @BleepinComputer
- Drupal Commerce Core Vulnerability Exploited Against Online Stores SecurityWeek
