Drupal corrige une faille de Commerce Core activement exploitée

Ce qui s’est passé

L’équipe de sécurité de Drupal a publié une alerte sur CVE-2026-118539, une vulnérabilité de contournement des contrôles d’accès dans Commerce Core. Son avis du 28 octobre 2026 classe le risque comme très critique et confirme une exploitation active. Il ne s’agit donc pas seulement d’une possibilité d’attaque démontrée en laboratoire.

Commerce Core est un module complémentaire de Drupal destiné à la vente de biens et de services. Il fournit notamment un panier et un formulaire de commande. Il permet aussi de connecter une application distincte à ces fonctions de commerce par des interfaces de programmation.

Selon Drupal, certaines routes de l’application et certains champs de ses données ne sont pas suffisamment protégés. Ce défaut permet de contourner des restrictions d’accès, avec des conséquences financières possibles pour le vendeur. La classification de l’éditeur indique que l’exploitation ne nécessite pas d’authentification.

Ce que ça change pour une PME

Le périmètre de l’alerte est Commerce Core, et non l’ensemble des sites Drupal. Une entreprise qui utilise ce module pour sa boutique en ligne est concernée, y compris lorsque les fonctions commerciales sont accessibles depuis une application distincte du site.

Pour la branche 3.x, l’avis désigne comme vulnérables les versions à partir de 3.0.0 et antérieures à 3.3.13. Cette dernière est une version corrigée, pas une version à inclure dans la plage affectée. Pour les branches antérieures, Drupal indique également une version vers laquelle migrer.

L’éditeur évoque un impact financier possible sans détailler le mécanisme des attaques observées. L’avis ne précise ni le nombre de boutiques touchées, ni les pertes éventuelles, ni l’identité des attaquants. Il ne permet donc pas de conclure qu’une boutique vulnérable a nécessairement subi une fraude.

Quoi faire

La réponse publiée par l’équipe de sécurité porte d’abord sur la mise à jour du module Commerce Core :

• Pour la branche 3.x, Drupal demande de passer à Commerce Core 3.3.13.
• Pour les versions antérieures, la version indiquée est Commerce Core 8.x-2.41.

Ces références concernent le module de commerce : l’avis ne présente pas une mise à jour du cœur de Drupal comme le correctif de cette faille.

L’équipe demande aussi aux sites concernés d’examiner leurs commandes pour rechercher des incohérences. Cette vérification complète la correction technique : installer une version corrigée ne renseigne pas sur les opérations déjà réalisées pendant la période d’exposition. Drupal associe explicitement cette demande de contrôle au constat d’une exploitation active.