Drupal Commerce Core
Drupal Commerce Core: controlli di autorizzazione mancanti permettono il forceful browsing
CVE-2026-118539 Media · 6.5
Il problema, secondo i dati ufficiali
- In Drupal Commerce Core manca un controllo di autorizzazione, e questo consente il «forceful browsing», cioè l'accesso a risorse digitando direttamente i loro indirizzi.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete (quindi anche da internet, se il servizio è esposto) e non serve un account.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna Commerce Core alla versione 3.3.13 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Ne parlano
- Drupal: rilevato sfruttamento in rete della CVE-2026-118539 — CSIRT Italia, 5 novembre 2026
- Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw — The Hacker News, 30 ottobre 2026
Fonti ufficiali
- www.drupal.org — riferimento
Descrizione ufficiale (in inglese)
Missing Authorization vulnerability in Drupal Commerce Core allows Forceful Browsing. This issue affects Commerce Core versions: from 0.0.0 to 2.41, from 3.0.0 to 3.3.13.
Non sai se ti riguarda?
Se usi Drupal Commerce Core e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 5 novembre 2026. Prima di intervenire verifica l'avviso del produttore.