Drupal Commerce, bajo ataque: qué hacer si tu tienda online usa este módulo

Qué ha pasado

El equipo de seguridad de Drupal ha publicado un aviso, catalogado como «muy crítico», sobre un fallo en Commerce Core, el módulo que convierte un sitio Drupal en una tienda online con carrito, pasarela de compra y conexión por API. El fallo se identifica como CVE-2026-118539 y, según Drupal, ya se está explotando en ataques reales.

El problema es una falta de control de acceso: el módulo no protege lo suficiente ciertas rutas y campos de los pedidos. Un atacante sin cuenta ni contraseña podría saltarse esas barreras. Drupal advierte de que el perjuicio puede ser económico para el comercio, y por eso pide a los administradores que actualicen cuanto antes y revisen los pedidos en busca de incoherencias.

Las versiones afectadas, según la información publicada, van de la 0.0.0 a la 2.41 y de la 3.0.0 a la 3.3.13. Las fuentes mencionan la 3.3.13 y la 8.x-2.41 como versiones a las que actualizar, pero esas cifras no encajan del todo con los rangos afectados. Lo prudente es confirmar la versión corregida exacta en el aviso oficial de Drupal.

Según los medios consultados, Commerce Core lo usan más de 42.000 sitios web. No es el primer susto del año con Drupal: en mayo se explotó un fallo de inyección SQL en el núcleo, y hace un par de semanas se corrigieron otros dos fallos que permitían ejecutar código de forma remota.

Por qué le importa a tu empresa

Si tu tienda online está hecha con Drupal y Commerce, esto te afecta de forma directa y urgente. No hablamos de una amenaza teórica: hay atacantes aprovechándola ahora mismo, y el objetivo parece ser el dinero, es decir, los pedidos.

Aunque tu tienda sea pequeña, no te libra de ser objetivo. Estos ataques suelen ser automáticos y buscan cualquier sitio con la versión vulnerable, sin importar el tamaño del negocio. Además, un pedido manipulado puede traducirse en mercancía enviada sin cobrar, en reembolsos indebidos o en un lío contable difícil de reconstruir.

Las fuentes no hablan de robo de datos de clientes, pero si tu tienda guarda datos personales conviene vigilar con atención. Si descubrieras un acceso indebido, tendrías que valorar tus obligaciones de notificación según el RGPD.

Mi opinión

Lo que más me preocupa de este caso no es el fallo en sí, que le puede pasar a cualquier software, sino lo poco que se tarda en pasar de aviso a explotación. Aquí el ataque ya estaba en marcha cuando se publicó el aviso. Eso significa que actualizar «cuando haya un hueco» ya no es una opción para una tienda que cobra online.

También me llama la atención que Drupal pida revisar los pedidos y no solo parchear. Es un buen recordatorio: actualizar cierra la puerta, pero no te dice si alguien entró antes. Y como pyme, lo más sensato es tratarlo así, sin dramatismo, pero con método: parchear, comprobar y dejar constancia de lo que has revisado.

Si no sabes qué versión tienes o quién la mantiene, empieza por preguntárselo a tu agencia o a tu proveedor de alojamiento. En XEVIA revisamos precisamente este tipo de cosas: versiones desactualizadas y exposición de las webs de nuestros clientes.

Qué hacer hoy

• Averigua si te afecta: pregunta a quien mantiene tu web si la tienda usa Drupal con el módulo Commerce Core y qué versión tiene instalada.
• Actualiza el módulo a la versión corregida que indique el aviso oficial de Drupal, tras hacer una copia de seguridad completa.
• Revisa los pedidos recientes: busca importes, estados, descuentos o pagos que no cuadren con lo que esperabas, y compáralos con los cobros reales de tu pasarela.
• Pide a tu proveedor que revise los registros del servidor por si hubo accesos extraños a las rutas de pedidos antes del parche.
• Anota lo que encuentres y, si ves señales de acceso indebido, valora si hay datos personales implicados y consúltalo con tu asesor.