Drupal ha publicado un aviso de seguridad sobre la vulnerabilidad CVE-2026-118539 en el módulo Commerce Core, que proporciona la funcionalidad de tienda online: carrito, tramitación de pedidos y API para aplicaciones externas. La vulnerabilidad se clasifica como omisión del control de acceso (access bypass): el módulo no protege de forma suficiente determinadas rutas y campos de entidades, lo que puede provocar pérdidas financieras para los propietarios de las tiendas. Drupal evalúa el problema como de criticidad alta (21/25 en su escala interna) y confirma que ya se está explotando en entornos reales. Se ven afectadas las versiones de Commerce Core inferiores a la 2.41 y desde la 3.0.0 hasta la 3.3.12 inclusive. Los propietarios de sitios en Drupal con el módulo Commerce habilitado deben actualizar de inmediato y realizar una auditoría de los pedidos.
Detalles técnicos de la vulnerabilidad
Según el aviso de seguridad de Drupal del 28 de octubre de 2026, CVE-2026-118539 es una falta de autorización (missing authorization) en Commerce Core. La vulnerabilidad no requiere autenticación ni presupone condiciones complejas para su explotación; en términos de Drupal: AC:None/A:None. Esto significa que un atacante puede aprovechar la vulnerabilidad sin acceso previo al sistema.
Versiones afectadas:
- Commerce Core versiones inferiores a la 2.41
- Commerce Core versiones desde la 3.0.0 hasta la 3.3.12 inclusive
En el momento de la publicación del aviso, aún no se ha asignado una puntuación CVSS (N/A en NVD). Sin embargo, la evaluación interna de Drupal —21 de 25 puntos con la marca «Exploit» en el campo de explotabilidad— indica una amenaza real y confirmada. Es importante señalar que la confirmación de explotación activa procede exclusivamente del propio Drupal; por el momento no se han encontrado confirmaciones independientes de investigadores externos ni su inclusión en el catálogo CISA KEV.
La vulnerabilidad fue descubierta por los investigadores Dan Puccetti, Marcus Johansson y Robert Snyder.
Evaluación del impacto
Commerce Core es uno de los módulos clave del ecosistema Drupal para el comercio electrónico. Una vulnerabilidad de bypass de autorización en un componente de este tipo supone una amenaza directa para la integridad financiera de las transacciones. Drupal indica explícitamente el posible daño financiero para los vendedores: puede tratarse de manipulación de precios, omisión de comprobaciones de pago o acceso no autorizado a los datos de los pedidos.
El perímetro de impacto de CVE-2026-118539 se limita a ciertas versiones concretas del módulo Commerce Core. Esto distingue esta vulnerabilidad de los problemas conocidos como PHP2Shell, que afectan al propio intérprete PHP y potencialmente se extienden a cualquier aplicación PHP con independencia del CMS utilizado.
Relación con PHP2Shell y panorama general de amenazas
El aviso de Drupal se ha publicado en el contexto de la actividad continua en torno a dos vulnerabilidades críticas en el núcleo de PHP —CVE-2026-109618 y CVE-2026-109619, conocidas conjuntamente como PHP2Shell (CVSS de hasta 9.2). Ambas vulnerabilidades están incluidas en el catálogo CISA KEV. Nosotros ya hemos analizado en detalle estas vulnerabilidades y hemos seguido su inclusión en CISA KEV.
Según el estudio de Wiz, técnicamente CVE-2026-109618 es un use-after-free en el mecanismo de seguimiento de carga de archivos, y CVE-2026-109619 es un use-after-free en el manejo de errores fatales combinado con type confusion en OPcache. Estas vulnerabilidades existen en el propio PHP y no dependen de una aplicación concreta: se ha demostrado su impacto en WordPress, Drupal y Joomla.
Wiz informa de que ha observado un número limitado de intentos de explotación de PHP2Shell en su telemetría. Ninguna de las dos variantes de kits de exploit detectadas completó con éxito la cadena de ataque. Wiz no ha encontrado un PoC universal de acceso público para una explotación completa. Los investigadores señalan que la fiabilidad de la explotación está seriamente limitada por las diferencias en las compilaciones de PHP, la configuración de los límites de memoria, el comportamiento de los procesos de trabajo y la necesidad de vincular solicitudes consecutivas a un mismo proceso.
Wiz también registró la aparición de herramientas que utilizan la marca «PHP2Shell», pero que en realidad no explotan las vulnerabilidades mencionadas; en su lugar, se basaban en el envenenamiento de sesiones y en una vulnerabilidad independiente de inclusión local de archivos (LFI).
Según Wiz, una semana después de la divulgación, menos del 53 % de las organizaciones inicialmente afectadas seguían siendo vulnerables, lo que supone una reducción de aproximadamente el 47,9 %. Según Wiz, los parches para PHP estuvieron disponibles el 21 de octubre de 2026.
Para los administradores de Drupal esto implica dos líneas de corrección independientes: la actualización del módulo Commerce Core cierra CVE-2026-118539, pero no protege frente a PHP2Shell, para lo cual es necesaria la actualización del propio intérprete PHP en el servidor.
Recomendaciones
Drupal recomienda las siguientes acciones:
- Para Commerce Core 3.x: actualizar a la versión 3.3.13
- Para versiones anteriores: actualizar a la versión 8.x-2.41
- Realizar una auditoría de los pedidos en busca de anomalías y discrepancias; Drupal recomienda explícitamente comprobar la integridad de los datos de los pedidos
Adicionalmente, para protegerse de PHP2Shell:
- Actualizar PHP a una versión que incluya las correcciones de CVE-2026-109618 y CVE-2026-109619
- Tener en cuenta que CISA fijó el 29 de octubre de 2026 como fecha límite para la corrección de PHP2Shell
Indicadores de compromiso (PHP2Shell)
Wiz ha publicado direcciones IP asociadas a intentos de explotación de PHP2Shell:
- 85.11.187[.]35
- 172.206.2[.]199
- 3.37.227[.]134
- 103.151.172[.]95
- 178.249.214[.]6
- 31.56.197[.]72
- 135.136.19[.]197
- 15.204.59[.]70
- 162.35.99[.]94
Los propietarios de sitios con Drupal Commerce deben considerar la actualización de Commerce Core como una prioridad urgente: la vulnerabilidad se está explotando, no requiere autenticación y supone una amenaza directa para las operaciones financieras. Paralelamente, es necesario asegurarse de que la versión de PHP en el servidor está actualizada para protegerse frente a PHP2Shell: se trata de dos vectores de ataque distintos que requieren dos correcciones independientes, y cerrar uno de ellos no compensa el otro.
