Drupal Commerce: falla già sfruttata, aggiornare subito
Drupal Commerce Core · avviso ACN AL01/261105/CSIRT-ITA del 5 novembre 2026
// In breve
L'ACN ha rilevato attacchi in corso contro una vulnerabilità di Drupal Commerce Core, il modulo che aggiunge carrello, checkout e vendita online ai siti Drupal. La falla (CVE-2026-118539) permette di aggirare i controlli di autorizzazione e di leggere informazioni riservate. Il produttore l'ha già corretta: chi usa il modulo deve aggiornarlo.
// Chi deve preoccuparsi
Le aziende con un negozio online o un sito Drupal che usa il modulo Commerce Core, nelle versioni precedenti alla 2.41 o, per la serie 3.x, alla 3.3.13. Se il sito lo gestisce un'agenzia o un fornitore, la domanda va girata a loro oggi stesso.
// Cosa fare, in ordine
Verifica se il sito usa Drupal Commerce: chiedilo a chi gestisce il sito, insieme alla versione installata: è il primo controllo da fare.
Fai un backup prima di intervenire: database e file del sito, per poter tornare indietro se l'aggiornamento crea problemi.
Aggiorna il modulo: alla 2.41 o, per la serie 3.x, alla 3.3.13 o successive, seguendo il bollettino di sicurezza di Drupal.
Controlla accessi e dati recenti: la falla espone informazioni riservate: se trovi accessi o richieste anomale, avvia la gestione degli incidenti.
// Prodotti e versioni interessate
- Drupal Commerce Core
- · versioni precedenti alla 2.41
- · 3.x, versioni precedenti alla 3.3.13
Elenco dalla fonte ufficiale (avviso ACN AL01/261105/CSIRT-ITA). Le versioni corrette e le istruzioni sono nel bollettino del produttore.
// Vulnerabilità (CVE)
Il codice CVE serve a cercare la vulnerabilità nei bollettini e negli strumenti di scansione.
// Fonti ufficiali
- CSIRT Italia (ACN), alert AL01/261105/CSIRT-ITA: «Drupal: rilevato sfruttamento in rete della CVE-2026-118539»
- Bollettino del produttore (drupal.org)
Questa pagina è una spiegazione divulgativa dell'avviso, aggiornata al 5 novembre 2026. In caso di differenze fanno fede la fonte ufficiale e il bollettino del produttore. Se sospetti un attacco in corso, l'ACN raccoglie le segnalazioni di incidente.
// Tag
// Altri avvisi del bollettino
WordPress: falla già sfruttata durante gli aggiornamenti
WordPress · 4 novembre 2026
cPanel e WHM: due falle gravi, aggiornare il server
cPanel & WHM · 3 novembre 2026
Router ASUS: falle nel firmware ASUSWRT, aggiornare
Router ASUS (ASUSWRT) · 4 novembre 2026
Mozilla Firefox: corretta una falla grave, versione 159.0.1
Mozilla Firefox · 4 novembre 2026