Tiendas con Drupal ya sufren ataques por un fallo en el proceso de pedidos; desarrolladores instan a actualizar de inmediato

Tiendas en línea basadas en Drupal ya están siendo atacadas mediante una vulnerabilidad en el proceso de realización de pedidos. Los delincuentes intentan completar compras con un precio incorrecto o eludir el pago, y los desarrolladores de Commerce Core exigen instalar las correcciones de inmediato y revisar el historial de ventas.

El problema recibió el identificador CVE-2026-118539 y una puntuación de 21 sobre 25 en la escala de seguridad de Drupal. El error se encuentra en el módulo adicional Commerce Core, que gestiona el carrito, el proceso de pedidos y las funciones comerciales a través de la API. Debido a una verificación insuficiente de los permisos de acceso, un tercero puede interactuar con rutas y campos de pedidos específicos sin las autorizaciones necesarias.

El desarrollador de Drupal Commerce, la empresa Centarro, recibió dos informes sobre intentos de fraude al procesar pedidos en sitios activos. Tras verificarlo junto con el equipo de seguridad de Drupal, los especialistas no encontraron indicios de una campaña automatizada ni de explotación fuera de las tiendas inicialmente identificadas. Por ello, no hay fundamentos para hablar de un compromiso masivo por ahora.

Las posibles consecuencias afectan al dinero de los vendedores. Entre las operaciones sospechosas hubo pedidos con un precio de solo 1 céntimo, así como con precios habituales. Los atacantes pueden intentar procesar un pedido sin pagar, falsificar la señal de que la compra está pagada, cambiar el precio de un producto o añadir un descuento no autorizado. La presencia de tales indicios requiere una verificación, pero por sí sola no demuestra un ataque.

La vulnerabilidad afecta a versiones de Commerce Core anteriores a 8.x-2.41 y a las ramas 3.x hasta la 3.3.13. Las correcciones se publicaron el 28 de octubre. El riesgo se extiende tanto a tiendas tradicionales con interfaz de Drupal como a proyectos con una parte cliente independiente que accede a la tienda mediante la API. Las formas concretas de abuso dependen de la arquitectura del sitio.

Se recomienda a los propietarios de las tiendas que concilien los pedidos marcados como pagados con las transacciones reales, que investiguen descuentos inexplicables y cambios manuales de precio. Deben prestar atención especial a los pedidos sin pago confirmado y a las compras que el sistema considera pagadas aunque no existan registros de pago. Para las tiendas que usan JSON:API, los desarrolladores recomiendan desactivar la modificación de datos a través de la API si esa función no es necesaria.

El equipo de Centarro, en sus recomendaciones, describió los signos de compras sospechosas y ejemplos de consultas SQL para buscarlas. Los desarrolladores recuerdan que el procesamiento de un pedido no debe provocar automáticamente el envío del producto hasta que el pago esté confirmado. Paralelamente, se publicaron actualizaciones de Commerce API, Commerce License, Commerce Shipping y Commerce Stripe, que se recomiendan instalar junto con el módulo principal.

El Centro Canadiense de Ciberseguridad también advirtió el 30 de octubre sobre la explotación de la vulnerabilidad. Anteriormente, Drupal ya se había enfrentado a fallos peligrosos, incluido el problema de octubre en Field UI. Este caso actual se diferencia en que los atacantes se dirigieron directamente al mecanismo de compras, por lo que la actualización debe complementarse con la revisión de pedidos ya procesados.