Vulnerabilità CVE-2026-118539 nel modulo Drupal Commerce Core: patch e audit storico necessari

Il modulo Drupal Commerce Core è affetto da una vulnerabilità di missing authorization valutata 21/25 e attivamente sfruttata per manipolare ordini. Le patch 8.x-2.41 e 3.3.13 sono disponibili dal 28 ottobre 2026.

Il 28 ottobre 2026 il Drupal Security Team ha pubblicato l'advisory SA-CONTRIB-2026-254 per una vulnerabilità di missing authorization nel modulo Commerce Core. La falla, catalogata come CVE-2026-118539 e classificata CWE-862, è attivamente sfruttata in rete da attori non autenticati per alterare ordini ed evitare pagamenti, con impatto finanziario sui venditori. Il modulo conta oltre 42.000 siti attivi, tra cui realtà Fortune 500 e università di ricerca.

Punti chiave

CVE-2026-118539 è una vulnerabilità di missing authorization (CWE-862) nel modulo Drupal Commerce Core, valutata 21/25 (Highly critical) dal Drupal Security Team con vettore AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All.
Le versioni affette comprendono Commerce Core dalla 0.0.0 alla 2.41 e dalla 3.0.0 alla 3.3.13; le patch 8.x-2.41 e 3.3.13 sono state rilasciate il 28 ottobre 2026.
La vulnerabilità è attivamente sfruttata in-the-wild: almeno due merchant hanno segnalato tentativi di ordini fraudolenti a prezzi errati (come 0,01 dollari) o senza completamento del pagamento.
L'exploitabilità teorica è retroattiva fino al maggio 2020 per siti con JSON:API abilitato e fino al giugno 2021 per tutte le altre installazioni.
Nessuna evidenza di abuso scriptato o su larga scala al 29 ottobre 2026; il CVE non compare nel catalogo CISA KEV.
Nessun punteggio CVSS pubblicato da Drupal o NVD al momento.

Fatti verificati

Identificazione e classificazione. CVE-2026-118539 è registrata su NVD come Missing Authorization vulnerability in Drupal Commerce Core allows Forceful Browsing con CWE-862. Il record CVE.org conferma le versioni affette e gli sviluppatori responsabili della correzione.

Valutazione del rischio. Il Drupal Security Team ha assegnato il punteggio massimo di 21/25, oltre la soglia di 20 che definisce Highly critical. Il vettore AC:None/A:None indica accesso senza autenticazione né privilegi pregressi; E:Exploit conferma sfruttamento attivo; TD:All indica impatto su tutti i tipi di dati.

Superficie di attacco. Secondo statistiche Drupal citate da BleepingComputer, il modulo Commerce Core è installato su oltre 42.000 siti. La fonte non specifica quanti di questi siano effettivamente vulnerabili alla configurazione attuale.

Casi di exploit confermati. Centarro, maintainer commerciale del modulo, ha documentato due report di tentativi di ordini fraudolenti. Secondo Rescana, che riporta la testimonianza di Centarro, gli aggressori hanno cercato di far accettare ordini senza pagare integralmente. I report includevano ordini piazzati a prezzi evidentemente errati, come 0,01 dollari. Questi sono i soli casi confermati; non ci sono evidenze di abuso più ampio.

Stato attuale della minaccia. Rescana segnala l'assenza di evidenze di abuso scriptato o su larga scala al 29 ottobre 2026. Il CVE non compare nel catalogo Known Exploited Vulnerabilities di CISA alla versione 2026.10.29.

Analisi: come funziona il bypass

Il modulo Commerce Core gestisce il ciclo dell'e-commerce su Drupal: carrelli, checkout, ordini, pagamenti e integrazioni API. Secondo l'advisory ufficiale, citato da The Hacker News, il modulo non protegge sufficientemente determinate rotte e campi entity, generando un access bypass che può impattare finanziariamente il venditore.

L'analisi tecnica di Rescana, unica fonte primaria strutturata con dettagli a livello di exploit, mappa quattro tipologie di tampering sugli ordini. Rescana precisa che la vulnerabilità colpisce sia architetture full-stack tradizionali sia implementazioni che espongono Commerce Core via JSON:API. Per i siti con JSON:API abilitato, la finestra di vulnerabilità è più lunga: risale al maggio 2020 (versione 8.x-2.18) contro il giugno 2021 (versione 8.x-2.25) per le altre installazioni. Il vettore non richiede credenziali valide: i campi AC:None e A:None del punteggio Drupal confermano accessibilità per attori non autenticati.

Limiti delle fonti. L'analisi tecnica dettagliata si basa principalmente su Rescana. Drupal e Centarro non hanno pubblicato dettagli a livello di request né specifiche tecniche complete dell'exploit. Rescana menziona query SQL come strumento di audit storico, ma precisa che i risultati richiedono giudizio e competenza, includendo anche azioni legittime dello staff.

"The module doesn't sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor. This vulnerability is being actively exploited in the wild." — Advisory Drupal SA-CONTRIB-2026-254 (via The Hacker News)

Contesto temporale: finestra di esposizione dal 2020

Il dato significativo emerso dall'analisi di Centarro riguarda la finestra temporale di esposizione. Per i siti che utilizzano JSON:API con Commerce Core, la vulnerabilità è teoricamente exploitabile dalla versione 8.x-2.18, rilasciata nel maggio 2020. Per tutte le altre installazioni, la soglia si sposta al giugno 2021 con la versione 8.x-2.25. Quattro-cinque anni di esposizione teorica, a seconda della configurazione.

Il punteggio Drupal di 21/25 riflette la combinazione di accessibilità totale, impatto economico e exploitabilità comprovata. La mancanza di un punteggio CVSS standard, non assegnato né da Drupal né da NVD (ancora in stato Received), limita la valutazione comparabile del rischio per i team di sicurezza.

Cosa fare adesso

Le azioni prioritarie emergono dalle fonti ufficiali e dall'analisi di Rescana:

Aggiornare immediatamente alla versione 8.x-2.41 (branch precedente) o 3.3.13 (branch attuale), le uniche release che correggono la vulnerabilità secondo l'advisory Drupal e i record CVE ufficiali.
Audire gli ordini storici per anomalie: l'advisory Drupal raccomanda esplicitamente di verificare la coerenza degli ordini passati, data l'exploitabilità retroattiva. Rescana suggerisce query SQL come strumento, con la cautela che i risultati richiedono competenza e giudizio per distinguere azioni malevole da operazioni legittime dello staff.
Verificare la configurazione JSON:API: i siti con questa interfaccia abilitata hanno finestra di vulnerabilità più lunga (dal 2020) e richiedono attenzione particolare nell'audit.

Cosa sappiamo e non sappiamo

Sappiamo: la vulnerabilità è reale, attivamente sfruttata, con due casi confermati di manipolazione ordini. Le patch sono disponibili. Il punteggio Drupal è 21/25. La finestra teorica di esposizione inizia nel 2020-2021.

Non sappiamo: il numero esatto di siti compromessi; l'entità economica del danno subito dai due merchant segnalanti; se la vulnerabilità sia stata sfruttata come zero-day prima del 28 ottobre 2026; dettagli tecnici a livello di request; presenza di exploit code pubblico. Nessuna fonte ufficiale ha pubblicato un punteggio CVSS.

La raccomandazione di audit storico proviene dall'advisory Drupal, non da una tempistica specifica di verifica. I team di sicurezza devono valutare la profondità dell'audit in base al proprio contesto operativo e alla data di attivazione della configurazione JSON:API, se presente.

Chiusura editoriale

Il caso CVE-2026-118539 illustra i limiti della valutazione del rischio quando fonti ufficiali forniscono advisory senza dettagli tecnici completi e un unico vendor indipendente (Rescana) offre analisi strutturata. La combinazione di accesso non autenticato, flussi finanziari e finestra di esposizione pluriennale rende la vulnerabilità critica per la comunità Drupal, ma i dati confermati si fermano a due casi di exploit. L'assenza di evidenze di scala non autorizza minimizzazione, né giustifica escalation non supportate dai fatti verificati.

Fonti

Fonti e riferimenti

Ricevi DeafLetter