Drupal Commerce Core : une faille d’autorisation activement exploitée menace plus de 42 000 sites e-commerce

L’équipe de sécurité de Drupal a tiré la sonnette d’alarme mercredi : le module Commerce Core, utilisé par plus de 42 000 sites dont de grandes organisations et des universités, fait l’objet d’une exploitation active. La vulnérabilité CVE-2026-118539, classée « hautement critique », permet à un attaquant non authentifié de contourner les contrôles d’autorisation et d’accéder à des routes et champs d’entité normalement protégés.

Le défaut touche les versions 0.0.0 à 2.41 de la branche 2.x et les versions 3.0.0 à 3.3.13 de la branche 3.x. Il résulte d’une protection insuffisante sur certaines routes et champs d’entité du module. Concrètement, un acteur malveillant peut manipuler des commandes, accéder à des données financières ou perturber le processus de paiement, avec un impact financier direct pour les commerçants. Drupal recommande une mise à jour immédiate vers Commerce Core 3.3.13 pour la branche 3.x, ou vers 8.x-2.41 pour les versions antérieures, ainsi qu’un audit des commandes pour détecter d’éventuelles incohérences.

Les chercheurs Dan Puccetti, Marcus Johansson et Robert Snyder ont signalé la faille. L’avis de sécurité de Drupal ne détaille pas la nature exacte des attaques en cours ni l’ampleur de la campagne, mais la qualification « activement exploitée dans la nature » laisse peu de place au doute. Cette situation survient dans un contexte déjà tendu : deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619 (CVSS 9,2), regroupées sous le nom de PHP2Shell, font aussi l’objet d’une exploitation massive. Selon Wiz, 52,1 % des organisations restaient significativement affectées fin octobre, malgré le recul observé.

Pour les administrateurs Drupal, la priorité est claire : appliquer les correctifs sans attendre, auditer les journaux d’accès aux routes sensibles du module Commerce, et surveiller toute activité anormale sur les formulaires de commande et de paiement. La convergence de ces campagnes d’exploitation rappelle que les infrastructures e-commerce, souvent moins surveillées que les systèmes cœur, constituent une cible de choix pour les acteurs opportunistes.

Sources : The Hacker News, BleepingComputer

Sources : The Hacker News, BleepingComputer