Para: proprietários e desenvolvedores de lojas online construídas no Drupal Commerce. Esta página se baseia no aviso de segurança do Drupal e no NVD; não contém passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
Em 31 de outubro de 2026 (JST)Ainda não se sabe
- O que exatamente os invasores fazem com o desvio e quantas lojas são afetadas (o Drupal não dá detalhes)
- A análise do próprio NVD (situação: aguardando análise, 30 de outubro)
- Se a CISA o adiciona ao catálogo KEV
O Drupal publicou o SA-CONTRIB-2026-254 em 28 de outubro com as versões corrigidas e diz que a falha está sendo explorada ativamente. Verificamos o aviso, o NVD e o feed KEV da CISA em 31 de outubro.
O que fazer hoje
Descubra sua versão do Commerce Core
Confira a versão do Commerce Core (nome de máquina commerce) no seu arquivo composer.lock ou na página Extend do Drupal. Afetadas: as anteriores à 8.x-2.41 e da 3.0.0 até a 3.3.13, exclusive.
Atualize
Passe para a 3.3.13 se usa a 3.x, ou para a 8.x-2.41 se usa a linha 2.x, como diz o aviso do Drupal. Teste em um ambiente de homologação se puder, mas não deixe a produção em uma versão afetada enquanto testa por muito tempo.
Audite os pedidos e os pagamentos
O Drupal diz que os sites devem auditar seus pedidos em busca de incoerências. Nossas sugestões: concilie os pedidos pagos ou concluídos com os registros do seu provedor de pagamento e procure preços, totais, estados de pedido ou campos de cliente inesperados. A exploração pode ser anterior ao aviso de 28 de outubro, então uma revisão que comece em 28 de outubro pode não bastar; volte tanto quanto seus logs permitirem.
Preserve os logs e depois procure outros sinais
Guarde os logs do servidor web e da aplicação anteriores à atualização. Se encontrar algo que não consiga explicar, envolva seu desenvolvedor e seu provedor de pagamento, e considere suas obrigações de comunicação segundo as normas de proteção de dados e de cartões de pagamento que se apliquem a você (nosso julgamento).
O que foi divulgado
- Produto
- Commerce Core (nome de máquina commerce), um módulo do Drupal para vender por meio de carrinho, checkout e APIs
- Tipo
- Desvio de acesso. O módulo não protege o suficiente certas rotas e campos de entidade (Drupal). NVD: falta de autorização (CWE-862), navegação forçada
- Gravidade
- Drupal: Altamente crítico, 21/25; sem complexidade de acesso, sem autenticação, algum impacto em confidencialidade e integridade, exploit na prática, todas as configurações exploráveis. Registro do NVD: CVSS v3.1 6,5 (adicionado pela CISA-ADP)
- Afetadas
- Anteriores à 8.x-2.41; da 3.0.0 até a 3.3.13, exclusive
- Corrigidas
- 8.x-2.41 e 3.3.13
- Exploração
- Drupal: «está sendo explorado ativamente na prática». Sem detalhes sobre quem nem com que amplitude
- Publicado
- 28 de outubro de 2026 (Drupal). Registro do NVD criado em 30 de outubro
Por que as duas classificações diferem: a pontuação do Drupal é sua própria escala de 25 pontos, que conta a existência de um exploit disponível e o fato de todas as configurações serem exploráveis. O 6,5 do NVD vem da fórmula CVSS para o impacto técnico e não modela a exploração. Nenhuma está errada, mas a primeira diz melhor o quão urgente é. O registro do NVD também mostra a CISA-ADP (coordenador) indicando a exploração como «nenhuma» em 30 de outubro; o Drupal, o mantenedor, diz que é ativa, então seguimos a declaração do Drupal.
1. Confira a versão
Anterior à 8.x-2.41 ou 3.3.13 é afetada
2. Atualize
8.x-2.41 ou 3.3.13
3. Audite os pedidos
Concilie com os registros do provedor de pagamento
Linha do tempo
28 de outubro
A Equipe de Segurança do Drupal publica o SA-CONTRIB-2026-254 com as versões corrigidas e diz que a falha está sendo explorada ativamente.30 de outubro
O NVD cria um registro para a CVE-2026-118539 (aguardando análise; CVSS 6,5 da CISA-ADP).
O que se sabe e o que não se sabe
| Item | Situação |
|---|---|
| Exploração | Indicada pelo Drupal; sem detalhes |
| Versões afetadas e corrigidas | Publicadas pelo Drupal (veja acima) |
| NVD | Aguardando análise; CVSS 6,5 da CISA-ADP |
| KEV da CISA | Não consta em 31 de outubro |
| Escala dos ataques e o que foi feito com os pedidos | Não divulgado |
Fontes
Verificadas em 31 de outubro de 2026 (JST).
- Drupal.org, «Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254» (28 de outubro de 2026) — drupal.org
- NVD, CVE-2026-118539 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (verificado em 31 de outubro; não consta) — cisa.gov
Histórico de atualizações
2026-10-31: Primeira versão, com base no aviso do Drupal e no NVD.
Leia a seguir
- Outra falha explorada em uma plataforma de lojas: Adobe Commerce e Magento CVE-2026-48356
- Priorizar as correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Passos de resposta: Guia de correção de vulnerabilidades
- Termos: O que é CVSS?