Drupal alerta de explotación activa en Commerce Core: omisión de acceso crítica

El equipo de seguridad de Drupal advirtió que atacantes ya están aprovechando una vulnerabilidad "highly critical" en Commerce Core, el módulo que convierte un sitio Drupal en una tienda en línea. La falla, identificada como CVE-2026-118539 y publicada como SA-CONTRIB-2026-254, permite saltarse controles de acceso y tiene parche disponible. Si en su organización o en la de un proveedor corre Drupal Commerce, conviene tratarla como prioridad inmediata.

El 28 de octubre de 2026 Drupal publicó el aviso SA-CONTRIB-2026-254 para Commerce Core (nombre de máquina commerce). El aviso clasifica la falla como omisión de acceso (access bypass) y le asigna un riesgo "highly critical" de 21 sobre 25. En su evaluación, no se requiere autenticación ni condiciones especiales de acceso, y todas las configuraciones del módulo son vulnerables.