2026-10-31
Drupal Commerce Core CVE-2026-118539: desvio de acesso sem autenticação, explorado ativamente (atualize para 8.x-2.41 ou 3.3.13)
Em 28 de outubro de 2026, a Equipe de Segurança do Drupal publicou o SA-CONTRIB-2026-254 para o módulo Commerce Core (CVE-2026-118539). O módulo não protege o suficiente certas rotas e campos de entidade, o que permite um desvio de acesso que pode ter impacto financeiro para o dono da loja. O Drupal o classifica como Altamente crítico (21/25), sem exigir autenticação, e afirma que está sendo explorado ativamente na prática. As versões afetadas são as anteriores à 8.x-2.41 e da 3.0.0 até a 3.3.13, exclusive; as versões corrigidas são a 8.x-2.41 e a 3.3.13. O registro do NVD mostra uma pontuação CVSS v3.1 menor, de 6,5, adicionada pelo ADP da CISA, e ainda aguarda análise. Em 31 de outubro, não consta do catálogo KEV da CISA. Nossa conclusão: se você opera uma loja online no Drupal Commerce, atualize já e audite os pedidos e pagamentos recentes em busca de algo incoerente.