L’équipe de sécurité de Drupal a classé « hautement critique » une faille du module Commerce Core, la brique de commerce en ligne du CMS, et indique qu’elle est déjà exploitée. Référencée CVE-2026-118539, elle permet à un visiteur non connecté d’accéder à des données et à des fonctions qui devraient lui être fermées. Les versions 3.3.13 et 8.x-2.41 corrigent le problème ; selon ITdaily, plus de 30 000 sites tournaient encore sur une version vulnérable.
Une autorisation manquante sur des routes sensibles
D’après l’avis SA-CONTRIB-2026-254 repris par BleepingComputer, le module ne protège pas suffisamment certaines routes et certains champs d’entités. En pratique, selon ITdaily, un attaquant peut atteindre des pages et des données qui devraient lui rester fermées, sans posséder de compte. Drupal ne précise pas lesquelles, ce qui complique l’analyse pour les exploitants.
ITdaily ajoute que toutes les configurations du module sont concernées et que l’accès permet à la fois de consulter certaines données non publiques et d’en modifier d’autres. Drupal évalue la gravité à 21 sur 25 sur sa propre échelle et prévient que la faille peut avoir un impact financier pour le commerçant.
Une exploitation confirmée, mais peu documentée
Drupal affirme que la vulnérabilité est « activement exploitée », sans donner de détail sur la nature ni sur l’ampleur des attaques, relève The Hacker News. Aucun score CVSS officiel n’était encore attribué au moment de la publication. Le signalement est crédité à trois chercheurs : Dan Puccetti, Marcus Johansson et Robert Snyder.
Sans détail public sur les attaques, un site ne peut pas facilement savoir s’il a été visé. Drupal recommande d’ailleurs, en plus de la mise à jour, de passer en revue les commandes à la recherche d’incohérences.
Combien de sites sont concernés
Commerce Core est le module qui ajoute à Drupal un panier, un parcours de commande et des interfaces de vente, décrit ITdaily. BleepingComputer indique que plus de 42 000 sites l’utilisent, dont des entreprises du classement Fortune 500 et des universités.
ITdaily détaille les chiffres déclarés au 18 octobre :
- 42 002 sites signalaient utiliser Commerce Core ;
- 13 028 tournaient sur la branche 2.x et 17 019 sur la branche 3.x, soit environ 30 000 sites potentiellement vulnérables ;
- 11 955 utilisaient encore la branche 1.x pour Drupal 7, que l’avis ne couvre pas.
Ces comptages reposent sur les déclarations des sites eux-mêmes et ne sont donc qu’un ordre de grandeur. Quant aux boutiques restées sous Drupal 7, elles ne reçoivent plus de correctifs de sécurité depuis le 5 janvier 2025 : l’absence de mention dans l’avis ne signifie pas qu’elles sont à l’abri.
Les gestes à faire dès maintenant
Pour une PME qui vend en ligne avec Drupal, ou pour son prestataire, la priorité est simple :
- installer Commerce Core 3.3.13 pour la branche 3.x, ou 8.x-2.41 pour les versions plus anciennes, disponibles depuis le 28 octobre selon ITdaily ;
- contrôler les commandes récentes à la recherche d’irrégularités, comme le demande Drupal ;
- examiner les journaux du serveur web à la recherche d’appels anonymes inhabituels vers les routes de commande ou l’API ;
- planifier la sortie de Drupal 7 pour les sites encore sur la branche 1.x.
Les nouvelles versions corrigent aussi cinq autres failles moins graves du module, ce qui justifie la mise à jour même sur un site qui pense ne pas être exposé.
Un mois chargé pour l’écosystème PHP
Cette alerte s’ajoute à une série. Deux semaines plus tôt, rappelle BleepingComputer, Drupal avait corrigé deux failles d’exécution de code à distance en prévenant que des attaques pourraient suivre en quelques heures ou quelques jours. The Hacker News évoque en parallèle la vague « PHP2Shell », qui vise des failles du langage PHP lui-même. ITdaily souligne que presque toutes les failles signalées ces dernières semaines ont été exploitées pendant ou juste après la publication de leur correctif : le répit qui séparait autrefois les deux a pratiquement disparu.
Questions fréquentes
Faut-il un compte sur le site pour exploiter la faille ?
Non. Selon les informations publiées par Drupal et reprises par la presse spécialisée, un attaquant anonyme peut exploiter le défaut, quelle que soit la configuration du module.
Mon site Drupal sans boutique est-il concerné ?
Seuls les sites qui utilisent le module Commerce Core sont visés par cette faille. Un site Drupal sans ce module n’est pas touché, mais il doit suivre les autres correctifs publiés en octobre.
Comment savoir si ma boutique a été attaquée ?
Drupal n’a pas publié d’indicateurs précis. Il faut donc contrôler les commandes et les journaux d’accès sur les dernières semaines et, en cas de doute, faire appel à un prestataire pour une analyse approfondie.
Sources
- Drupal warns of critical Commerce Core flaw exploited in attacks — BleepingComputer, 2026-10-30
- Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw — The Hacker News, 2026-10-30
- 30,000 Drupal web shops potentially vulnerable to actively exploited access flaw — ITdaily, 2026-10-30