Drupal Commerce, falla «altamente critica» già sfruttata negli e-commerce

Drupal ha pubblicato l'avviso di sicurezza SA-CONTRIB-2026-254 su Commerce Core, il modulo con cui i siti Drupal vendono prodotti e servizi online: la vulnerabilità CVE-2026-118539, classificata «altamente critica», è già sfruttata negli attacchi. Lo ha ripreso il 30 ottobre 2026 The Hacker News. Le versioni corrette sono la 3.3.13 per il ramo 3.x e la 8.x-2.41 per quelli precedenti.

Che cosa permette di fare la falla?

Secondo l'avviso, il modulo non protegge a sufficienza alcuni percorsi (le "rotte" con cui il sito risponde alle richieste) e alcuni campi dei dati del negozio. Ne deriva un aggiramento dei controlli di accesso che, testualmente, può avere un impatto economico sul venditore.

Drupal non ha detto quali dati o funzioni siano esposti nel dettaglio, né quanto sia estesa la campagna. Ha confermato soltanto che la vulnerabilità è sfruttata "in the wild", cioè in attacchi reali e non solo in laboratorio. Hanno segnalato il problema tre ricercatori, accreditati nell'avviso.

In un negozio online un "danno economico" può voler dire molte cose: ordini modificati, prezzi o totali alterati, informazioni dei clienti consultate da chi non dovrebbe. Finché i dettagli non sono pubblici, conviene ragionare sul caso peggiore.

Quali siti sono coinvolti?

Tutti i siti Drupal che usano Commerce Core con una versione precedente a quelle corrette. Commerce Core non riguarda solo i negozi classici con carrello e cassa: secondo la descrizione di Drupal serve anche alle applicazioni "disaccoppiate", in cui il sito Drupal fa da motore e il negozio vero e proprio è un'app o un sito separato che lo interroga tramite API.

Drupal viene scelto di solito per progetti più strutturati di un semplice sito vetrina: cataloghi grandi, siti di associazioni e consorzi, portali con area riservata. A volte sono progetti nati con un fornitore che poi non li ha più seguiti, ed è lì che gli aggiornamenti si fermano.

Cosa cambia per chi vende online?

Se il tuo negozio è su Drupal Commerce, l'aggiornamento non è rimandabile: una falla sfruttata su un e-commerce tocca direttamente soldi e dati dei clienti. E se dalla verifica emergesse un accesso ai dati personali, scatterebbero anche gli obblighi del GDPR, compresa la valutazione sulla notifica al Garante entro 72 ore.

Lo stesso giorno The Hacker News ha ricordato anche gli attacchi in corso contro PHP, il linguaggio su cui gira Drupal: ne parlo nella notizia su PHP2Shell. Un sito Drupal aggiornato su un PHP vecchio resta comunque esposto.

Cosa fare adesso?

1. Verifica la versione di Commerce Core nella sezione dei moduli di Drupal o con Composer.
2. Aggiorna alla 3.3.13 se sei sul ramo 3.x, alla 8.x-2.41 se sei su un ramo precedente. Fallo prima in una copia di prova se il sito ha personalizzazioni importanti, ma senza lasciar passare giorni.
3. Controlla gli ordini recenti: importi, stati, indirizzi e clienti che non tornano. Confronta i pagamenti registrati sul sito con quelli effettivamente incassati sul conto o sul gateway.
4. Guarda i registri del server in cerca di richieste anomale verso le funzioni del negozio.
5. Aggiorna anche PHP e, già che ci sei, gli altri moduli con avvisi di sicurezza aperti.
6. Se trovi anomalie, conserva i registri, cambia le credenziali e valuta con chi si occupa della privacy se serve una notifica.

Ne parliamo?

Un negozio online ha bisogno di aggiornamenti puntuali e di qualcuno che li faccia con criterio, con un backup prima e una verifica degli ordini dopo. È il lavoro che faccio con la manutenzione e l'hosting. Se il tuo e-commerce è un progetto ereditato che nessuno conosce più bene, posso partire da una consulenza tecnica per capire in che stato è. Scrivimi dalla pagina contatti.

Fonti

• Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254 (Drupal.org)
• Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw (The Hacker News)

Crediti delle immagini

• Copertina: foto di Atlantic Ambience su Pexels