Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw

La plataforma Drupal ha emitido una alerta sobre un fallo de seguridad altamente crítico en su componente Commerce Core (CVE-2026-118539). Este error permite saltarse la autorización, lo que podría tener un impacto financiero directo en los vendedores al afectar el carrito de compras y los procesos de pago. El fallo afecta a las versiones de Commerce Core desde la 0.0.0 hasta la 2.41 y de la 3.0.0 a la 3.3.13, y ya está siendo explotado de forma activa.

Por otro lado, la agencia de seguridad de Estados Unidos (CISA) confirmó que atacantes están usando un fallo crítico en ConnectWise ScreenConnect (CVE-2026-84869). Esta vulnerabilidad permite que personas con permisos básicos puedan transferir o ejecutar archivos en sesiones remotas sin necesidad de interacción del usuario. Se recomienda a los administradores de sistemas actualizar a la versión 26.6.5 o superior para mitigar el riesgo.

Adicionalmente, se reportó una vulnerabilidad en la imagen oficial de Docker para el servicio Gitea (CVE-2026-20896). El error permite que un atacante suplante la identidad de cualquier usuario, incluso administradores, al confiar erróneamente en encabezados de autenticación. Se recomienda actualizar a las versiones 1.26.3 o 1.26.4 de Gitea para corregir este problema de identidad.

Qué significa para una pyme colombiana y cucuteña: Si usted utiliza Drupal para su tienda virtual, actualice el módulo Commerce Core de inmediato a la versión 3.3.13 (si usa la rama 3.x) o a la 2.41 (si usa la rama 8.x) para evitar pérdidas económicas. Si usa ScreenConnect para soporte técnico remoto, asegúrese de estar en la versión 26.6.5 o superior; de lo contrario, desactive los permisos de 'TransferFiles' como medida temporal para evitar que le instalen archivos maliciosos en sus equipos.