Falha afeta módulo de comércio eletrônico
O Drupal alertou administradores sobre uma vulnerabilidade crítica de bypass de acesso no Commerce Core, módulo voltado à criação e operação de sites e aplicações de comércio eletrônico sobre o CMS. Segundo o alerta, a falha, identificada como CVE-2026-118539, está sendo explorada em ataques.
A vulnerabilidade decorre de uma deficiência de autorização e pode ser abusada por atacantes não autenticados. O Drupal informou que determinadas rotas e campos de entidade não recebem proteção suficiente, o que pode resultar em bypass de acesso e potencial impacto financeiro para o fornecedor.
O problema afeta as versões 0.0.0 a 2.41 e 3.0.0 a 3.3.13 do Commerce Core. O módulo, desenvolvido pela comunidade, é usado por mais de 42 mil sites.
Atualização e auditoria de pedidos
A equipe de segurança do Drupal solicitou atualização imediata para o Commerce Core 3.3.13 no ramo 3.x ou para o Commerce Core 8.x-2.41 nas versões anteriores. Também recomendou auditar pedidos em busca de inconsistências.
Para gestores responsáveis por operações digitais que utilizam o módulo, a recomendação editorial é tratar a atualização e a verificação dos pedidos como ações prioritárias, considerando a exploração ativa relatada pelo Drupal.
Outros alertas recentes no ecossistema Drupal
Em maio, o Drupal também alertou sobre a exploração da CVE-2026-9082, uma vulnerabilidade de injeção SQL na API de abstração de banco de dados. Dias depois, a CISA incluiu a falha no catálogo de Vulnerabilidades Conhecidas Exploradas e determinou que agências federais corrigissem seus sistemas em três dias.
Há duas semanas, o Drupal corrigiu ainda as falhas de execução remota de código CVE-2026-108097 e CVE-2026-108099. Ao longo de vários anos, a CISA sinalizou cinco vulnerabilidades do Drupal exploradas em ambiente real, sendo que duas também foram utilizadas por grupos de ransomware.