Hai un negozio Drupal Commerce? Aggiorna subito e controlla gli ordini recenti: la falla è già sfruttata! (aggiornato: 31 ottobre 2026, ore 11:11)

Ordini accettati senza che il cliente abbia pagato il dovuto. È il genere di problema che un negozio online scopre quando la merce è già partita. Il 28 ottobre 2026 Drupal lo ha messo nero su bianco: una vulnerabilità classificata "Highly critical" in Commerce Core, il modulo con cui decine di migliaia di siti Drupal vendono prodotti e servizi, è già sfruttata attivamente. La falla, identificata come CVE-2026-118539, consente di eludere i controlli di accesso, e il conto lo paga direttamente il commerciante. Per chi gestisce uno store basato su Drupal Commerce la priorità è quindi doppia: aggiornare subito e ricontrollare gli ordini recenti.

Route e campi delle entità lasciati scoperti

L'advisory ufficiale, catalogato come SA-CONTRIB-2026-254, descrive un problema di autorizzazione mancante. «Il modulo non protegge a sufficienza alcune route e alcuni campi delle entità, causando un'elusione dei controlli di accesso che può avere un impatto economico sul venditore», si legge nel bollettino. Che poi aggiunge, senza giri di parole: «Questa vulnerabilità è attivamente sfruttata».

Drupal però non indica quali campi siano modificabili, né spiega come abbiano funzionato gli attacchi osservati. Qualche dettaglio in più arriva da Centarro, l'azienda che mantiene Drupal Commerce. In un post pubblicato il 29 ottobre in accordo con il Drupal Security Team, spiega che la falla è emersa grazie alle segnalazioni di due commercianti, che avevano notato tentativi di ordini fraudolenti sui propri store. Gli aggressori cercavano di far accettare ordini senza pagarli per intero. Tra quelli segnalati c'erano ordini a prezzi palesemente sbagliati, come 0,01 $, ma anche ordini a prezzo normale. Quel prezzo, va precisato, non compare nell'advisory di Drupal.

Secondo Centarro e il team di sicurezza, al 29 ottobre l'attività non sembrava automatizzata tramite script, né estesa oltre i primi siti che l'avevano segnalata. "Sfruttata attivamente", insomma, non equivale a una campagna di massa. La vulnerabilità colpisce sia i siti tradizionali sia quelli headless che usano il modulo JSON:API, attraverso percorsi di attacco diversi. La scoperta è accreditata ai ricercatori Dan Puccetti, Marcus Johansson e Robert Snyder.

Gravità: 21 punti su 25

Drupal assegna alla falla un punteggio di rischio di 21 su 25. Non va confuso con il CVSS, che per questa vulnerabilità non è stato pubblicato. È la scala interna di Drupal, basata sul sistema NIST CMSS: va da 0 a 25 e classifica come "Highly critical" tutto ciò che supera quota 20.

Il vettore AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All descrive uno scenario poco rassicurante. Non servono passaggi particolari né un account, una parte dei dati non pubblici può essere esposta e un'altra modificata, esiste codice di exploit in circolazione e tutte le configurazioni del modulo sono vulnerabili.

Conviene però chiarire anche cosa la falla non fa. L'advisory non parla di esecuzione di codice da remoto, né di presa di controllo completa del sito. Non si tratta nemmeno di un attacco che ruba i dati delle carte dalle pagine di checkout. Il danno è economico: merce spedita o accessi concessi senza aver incassato quanto dovuto.

Commerce Core risulta installato su oltre 42.000 siti, tra cui aziende della classifica Fortune 500 e università di ricerca. Il dato si riferisce però alle installazioni dichiarate, non agli store effettivamente vulnerabili o compromessi. La vulnerabilità, inoltre, non risultava nel catalogo KEV (Known Exploited Vulnerabilities) di CISA.

Aggiornare non basta: bisogna controllare gli ordini

Le versioni correttive sono Commerce Core 3.3.13 per il ramo 3.x e 8.x-2.41 per le release precedenti.

Attenzione a un equivoco facile. Si tratta di un aggiornamento del modulo Commerce, distinto dai rilasci di sicurezza del core di Drupal: aver aggiornato di recente il core non risolve nulla. Verifica quindi la versione del pacchetto Commerce effettivamente installata. Rescana consiglia inoltre di aggiornare nello stesso momento anche Commerce API, License, Shipping e Stripe.

» Leggi: Drupal, falla critica in Field UI: installa subito la patch!

Poi c'è il passato. La falla era teoricamente sfruttabile da anni: dalla versione 8.x-2.18 (maggio 2020) sui siti che usano JSON:API, dalla 8.x-2.25 (giugno 2021) per tutti gli altri. Anche chi ha applicato la patch in poche ore, dunque, deve passare in rassegna gli ordini recenti. «I siti dovrebbero verificare i propri ordini alla ricerca di incongruenze, poiché questa vulnerabilità è attivamente sfruttata», raccomanda Drupal. In concreto, confronta gli ordini registrati con i prezzi attesi e con i pagamenti effettivamente ricevuti. Indaga sulle differenze inspiegabili, senza però considerarle automaticamente la prova di una compromissione.

Un mese difficile per l'ecosistema Drupal

Commerce Core non è l'unico fronte aperto. Lo stesso 28 ottobre Drupal ha pubblicato altri 38 advisory relativi a 21 progetti contribuiti. Quasi una dozzina sono classificati come critici: tra questi, bug che permettono l'esecuzione di codice da remoto, la presa di controllo di account o la marcatura come pagati di ordini Commerce gestiti tramite Stripe senza che il pagamento sia mai avvenuto.

Per chi vende online con Drupal, la lezione è concreta. Gli aggiornamenti dei moduli contribuiti vanno trattati con la stessa urgenza di quelli del core, perché questa volta è proprio lì che si perdono soldi veri.

Fonti: bleepingcomputer.com, rescana.com, cryptika.com