Para: propietarios y desarrolladores de tiendas online construidas en Drupal Commerce. Esta página se basa en el aviso de seguridad de Drupal y en NVD; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
A fecha del 31 de octubre de 2026 (JST)Aún no se sabe
- Qué hacen exactamente los atacantes con la omisión y cuántas tiendas están afectadas (Drupal no da detalles)
- El propio análisis de NVD (estado: pendiente de análisis, 30 de octubre)
- Si CISA la añade al catálogo KEV
Drupal publicó SA-CONTRIB-2026-254 el 28 de octubre con las versiones corregidas y dice que el fallo se está explotando activamente. Comprobamos el aviso, NVD y el feed KEV de CISA el 31 de octubre.
Qué hacer hoy
Averigüe su versión de Commerce Core
Compruebe la versión de Commerce Core (nombre de máquina commerce) en su archivo composer.lock o en la página Extend de Drupal. Afectadas: las anteriores a 8.x-2.41 y de 3.0.0 hasta 3.3.13 sin incluir.
Actualice
Pase a 3.3.13 si usa 3.x, o a 8.x-2.41 si usa la rama 2.x, como dice el aviso de Drupal. Pruebe en un entorno de pruebas si puede, pero no deje producción en una versión afectada mientras prueba mucho tiempo.
Audite los pedidos y los pagos
Drupal dice que los sitios deben auditar sus pedidos en busca de incoherencias. Nuestras sugerencias: concilie los pedidos pagados o completados con los registros de su proveedor de pagos, y busque precios, totales, estados de pedido o campos de cliente inesperados. La explotación puede ser anterior al aviso del 28 de octubre, así que una revisión que empiece el 28 de octubre puede no bastar; retroceda tanto como permitan sus registros.
Conserve los registros y luego busque otros indicios
Conserve los registros del servidor web y de la aplicación anteriores a la actualización. Si encuentra algo que no puede explicarse, implique a su desarrollador y a su proveedor de pagos, y considere sus obligaciones de notificación según las normas de protección de datos y de tarjetas de pago que le apliquen (nuestra valoración).
Qué se divulgó
- Producto
- Commerce Core (nombre de máquina commerce), un módulo de Drupal para vender mediante carrito, pago y API
- Tipo
- Omisión de acceso. El módulo no protege lo suficiente ciertas rutas y campos de entidad (Drupal). NVD: falta de autorización (CWE-862), navegación forzada
- Gravedad
- Drupal: Muy crítica, 21/25; sin complejidad de acceso, sin autenticación, cierto impacto en confidencialidad e integridad, exploit en la práctica, todas las configuraciones explotables. Registro de NVD: CVSS v3.1 6,5 (añadido por CISA-ADP)
- Afectadas
- Anteriores a 8.x-2.41; de 3.0.0 hasta 3.3.13 sin incluir
- Corregidas
- 8.x-2.41 y 3.3.13
- Explotación
- Drupal: «se está explotando activamente en la práctica». Sin detalles sobre quién ni con qué amplitud
- Publicado
- 28 de octubre de 2026 (Drupal). Registro de NVD creado el 30 de octubre
Por qué difieren las dos clasificaciones: la puntuación de Drupal es su propia escala de 25 puntos, que cuenta que haya un exploit disponible y que todas las configuraciones sean explotables. El 6,5 de NVD sale de la fórmula CVSS para el impacto técnico y no modela la explotación. Ninguna es incorrecta, pero la primera dice mejor cuán urgente es. El registro de NVD también muestra que CISA-ADP (coordinador) indicaba la explotación como «ninguna» el 30 de octubre; Drupal, el mantenedor, dice que es activa, así que seguimos la declaración de Drupal.
1. Compruebe la versión
Anterior a 8.x-2.41 o 3.3.13 está afectada
2. Actualice
8.x-2.41 o 3.3.13
3. Audite los pedidos
Concilie con los registros del proveedor de pagos
Cronología
28 de octubre
El Equipo de Seguridad de Drupal publica SA-CONTRIB-2026-254 con las versiones corregidas y dice que el fallo se está explotando activamente.30 de octubre
NVD crea un registro para CVE-2026-118539 (pendiente de análisis; CVSS 6,5 de CISA-ADP).
Qué se sabe y qué no
| Elemento | Estado |
|---|---|
| Explotación | Indicada por Drupal; sin detalles |
| Versiones afectadas y corregidas | Publicadas por Drupal (véase arriba) |
| NVD | Pendiente de análisis; CVSS 6,5 de CISA-ADP |
| KEV de CISA | No figura a fecha del 31 de octubre |
| Escala de los ataques y qué se hizo con los pedidos | No divulgado |
Fuentes
Comprobadas el 31 de octubre de 2026 (JST).
- Drupal.org, «Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254» (28 de octubre de 2026) — drupal.org
- NVD, CVE-2026-118539 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (comprobado el 31 de octubre; no figura) — cisa.gov
Historial de actualizaciones
2026-10-31: Primera versión, basada en el aviso de Drupal y en NVD.
Leer a continuación
- Otro fallo explotado en una plataforma de tiendas: Adobe Commerce y Magento CVE-2026-48356
- Priorizar las correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Pasos de respuesta: Guía de corrección de vulnerabilidades
- Términos: ¿Qué es CVSS?