O Drupal alertou administradores para atualizarem o módulo Commerce Core e corrigirem uma falha crítica que permite contornar controles de acesso. A vulnerabilidade está sendo explorada em ataques reais.
Identificada como
CVE-2026-118539
, a falha decorre da ausência de uma verificação de autorização. Ela pode ser explorada por invasores não autenticados e afeta as versões do Commerce Core de 0.0.0 a 2.41 e de 3.0.0 a 3.3.13.
A equipe de segurança do Drupal recomendou que administradores da linha 3.x atualizem imediatamente para o Commerce Core 3.3.13. Quem usa versões anteriores deve instalar o Commerce Core 8.x-2.41. A equipe também orientou os administradores a verificarem os pedidos em busca de inconsistências, pois agentes de ameaça estão explorando a vulnerabilidade.
“Este módulo permite vender produtos e serviços aos clientes por meio de um carrinho de compras e de um formulário de finalização de compra integrados, ou por aplicações desacopladas que usam APIs”, informou a equipe do Drupal em um comunicado divulgado na quarta-feira e classificado como altamente crítico.
“O módulo não protege adequadamente determinadas rotas e campos de entidades, o que permite contornar controles de acesso e pode causar prejuízos financeiros ao comerciante. A vulnerabilidade está sendo explorada ativamente em ataques reais.”
Desenvolvido pela comunidade, o Commerce Core é usado por mais de 42.000 sites, incluindo organizações de grande porte, como empresas da lista Fortune 500 e universidades de pesquisa.
O módulo oferece uma estrutura de software para criar e operar sites de comércio eletrônico e aplicativos de compras sobre o sistema de gerenciamento de conteúdo Drupal.
Em maio, o Drupal também alertou que invasores estavam explorando uma vulnerabilidade de injeção de SQL, identificada como
CVE-2026-9082
, na API de abstração de banco de dados. A falha poderia permitir a elevação de privilégios, a exposição de informações e a execução remota de código.
Dias depois, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu a falha em seu Catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) e determinou que órgãos federais atualizassem seus sistemas em até três dias.
Duas semanas atrás, o Drupal corrigiu outras duas falhas de segurança que permitiam a execução remota de código, CVE-2026-108097 e CVE-2026-108099. A equipe pediu que administradores instalassem as atualizações o quanto antes, pois invasores poderiam desenvolver exploits “em horas ou dias”.
Nos últimos anos, a CISA identificou cinco vulnerabilidades do Drupal exploradas em ataques reais. Duas delas também foram usadas por grupos de ransomware.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...