Une faille critique de Drupal Commerce, identifiée CVE-2026-118539, est déjà exploitée par des pirates : voici comment réagir.

Drupal tire la sonnette d’alarme. L’éditeur du célèbre CMS prévient que des attaquants exploitent déjà une vulnérabilité jugée « highly critical » dans Drupal Commerce. Les boutiques en ligne reposant sur ce composant doivent donc réagir sans attendre.

La faille porte l’identifiant CVE-2026-118539. Aucun score CVSS n’a été communiqué pour le moment. Pourtant, le niveau de gravité retenu par Drupal suffit à montrer le sérieux de la situation.

Drupal Commerce visé par une faille jugée très critique

Commerce Core est le socle du module de commerce électronique de Drupal. Ce module permet de vendre des biens et des services grâce à un panier d’achat intégré. Il sert donc de colonne vertébrale à de nombreuses boutiques en ligne.

Or, ce type de composant manipule des données sensibles. Il gère les commandes, les clients et les parcours de paiement. Une faiblesse à cet endroit intéresse tout naturellement les cybercriminels.

Drupal indique que la vulnérabilité fait déjà l’objet d’attaques actives. Autrement dit, il ne s’agit pas d’un risque théorique. Des acteurs malveillants s’en servent en conditions réelles.

Un défaut d’autorisation manquante : de quoi parle-t-on ?

La faille relève d’une catégorie bien connue : l’absence de contrôle d’autorisation. Dans ce cas, une fonction du logiciel ne vérifie pas correctement les droits de l’utilisateur. Une personne qui ne devrait pas y avoir accès peut alors déclencher une action protégée.

Ce défaut est souvent redoutable. En effet, l’attaquant n’a pas besoin de casser un mot de passe ni de contourner un chiffrement. Il lui suffit parfois d’appeler la bonne fonction au bon moment.

Les versions touchées sont les suivantes :

• Commerce Core de la version 0.0.0 à la version 2.41 ;
• Commerce Core de la version 3.0.0 à la version 3.3.13.

Ces plages couvrent deux branches majeures du module. Par conséquent, un grand nombre d’installations, anciennes comme plus récentes, peuvent être concernées. Les administrateurs doivent donc vérifier précisément la version installée sur chaque site.

Quels risques pour les boutiques en ligne Drupal Commerce ?

Les détails techniques de l’exploitation n’ont pas été précisés dans les informations disponibles. Il est donc impossible de décrire avec certitude les actions réalisées par les attaquants. Toutefois, on peut raisonner à partir de la nature de la faille.

Une autorisation manquante dans un module de vente en ligne peut avoir plusieurs conséquences. Par exemple, elle peut exposer des informations liées aux commandes. Elle peut aussi permettre de modifier des données ou de réaliser des opérations réservées aux administrateurs. Ces scénarios restent des hypothèses générales, non confirmées par l’éditeur.

Quoi qu’il en soit, les enjeux sont élevés pour un commerçant. D’abord, la confiance des clients peut être entamée. Ensuite, une compromission peut entraîner des pertes financières et des obligations réglementaires, notamment en matière de protection des données personnelles. Enfin, un site indisponible pendant l’enquête coûte cher en chiffre d’affaires.

Par ailleurs, l’exploitation active change la donne. Les attaquants scannent souvent Internet à la recherche de sites vulnérables. Plus le temps passe, plus le risque d’être repéré augmente.

Recommandations pour les administrateurs

La priorité est de consulter l’avis de sécurité officiel publié par Drupal. Il indique les versions correctives et les mesures à appliquer. C’est pourquoi il faut s’y référer avant toute intervention.

Voici les actions à mener sans tarder :

1. Inventorier les sites qui utilisent Commerce Core et relever leur version exacte.
2. Appliquer la mise à jour recommandée par Drupal dès qu’elle est disponible pour votre branche.
3. Sauvegarder le site et sa base de données avant la mise à jour, afin de pouvoir revenir en arrière.
4. Examiner les journaux d’accès et d’activité à la recherche de requêtes inhabituelles.
5. Contrôler les comptes utilisateurs, les commandes et les droits d’accès pour détecter toute modification suspecte.

En outre, il est utile de limiter l’exposition des interfaces d’administration. Un pare-feu applicatif web peut également offrir une protection supplémentaire. Cependant, il ne remplace jamais le correctif.

Si vous soupçonnez une compromission, isolez le site rapidement. Changez ensuite les identifiants sensibles, puis lancez une analyse complète. Pour une boutique qui traite des paiements, faites appel à des spécialistes de la réponse à incident.

Ce qu’il faut retenir

• Drupal confirme l’exploitation active de la faille CVE-2026-118539 dans Commerce Core.
• Il s’agit d’un défaut d’autorisation manquante, classé « highly critical ».
• Les versions 0.0.0 à 2.41 et 3.0.0 à 3.3.13 sont concernées.
• Aucun score CVSS n’est publié à ce stade.
• La mise à jour et la vérification des journaux doivent être traitées en urgence.

Source : Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw