CVE-2026-118539 : Drupal Commerce Core exploitée en nature
Faille d'autorisation de Drupal Commerce Core activement exploitée, préjudice financier pour le marchand. Versions corrigées, conduite d'audit.
Qui est touché
- Drupal Commerce Core versions antérieures à 2.41 sur la branche 8.x-2.x
- Drupal Commerce Core versions antérieures à 3.3.13 sur la branche 3.x
- Boutiques en ligne d'hôtels, de spas ou de stations vendant séjours, soins, billets ou articles sous Drupal Commerce
Comment corriger
Mettre à niveau vers Drupal Commerce Core 3.3.13 (branche 3.x) ou 2.41 (branche 8.x-2.x), conformément à l'avis SA-Contrib-2026-254 du 30 octobre 2026. En attendant le passage, restreindre l'accès aux routes de commerce par règle serveur ou WAF, et couper la fonction de vente si elle n'est pas indispensable. Après mise à jour, auditer la période depuis le 30 octobre: commandes anormales, avoirs, modifications de prix, et comptes utilisateurs créés ou promus. En cas de trace d'exploitation, considérer le périmètre de paiement compromis et prévenir la banque acquéreur.
Ce qui s'est passé
Drupal a publié le 30 octobre 2026 l'avis SA-Contrib-2026-254 sur son module de commerce, Commerce Core. Le module « ne protège pas suffisamment certaines routes et certains champs d'entités », écrit l'éditeur, ce qui permet à un visiteur non autorisé d'accéder à des actions réservées, avec un impact financier direct pour le marchand. Drupal confirme que la faille, suivie en CVE-2026-118539, est « activement exploitée dans la nature », sans préciser l'ampleur ni la nature des campagnes.
Pourquoi c'est important pour un hôtel
Commerce Core ne porte pas seulement une boutique cadeaux: il lui arrive d'héberger la vente de soins au spa, la billetterie d'événements, la location ou des compléments de séjour. Un contournement d'autorisation sur ces routes peut signifier des commandes passées ou modifiées hors contrôle, des prix altérés, des avoirs induits, et l'exposition de champs d'entités clients. Contrairement à une faille d'exécution de code, ici le préjudice touche d'abord la caisse.
Qui est touché
Toutes les versions de Commerce Core antérieures à 2.41 sur la branche 8.x-2.x et antérieures à 3.3.13 sur la branche 3.x. L'administrateur du site peut lire la version exacte dans l'interface d'extension ou via la ligne de commande Drush.
Comment corriger
- Mettre à niveau vers Commerce Core 3.3.13 (branche 3.x) ou 2.41 (branche 8.x-2.x), publié avec l'avis du 30 octobre.
- Si la mise à jour n'est pas immédiate, couper la fonction de vente ou restreindre les routes de commerce par règle serveur ou WAF.
- Auditer depuis le 30 octobre: commandes et avoirs anormaux, écarts de prix, comptes créés ou promus.
- En cas de trace d'exploitation, traiter le périmètre de paiement comme compromis et prévenir la banque acquéreur; Drupal n'a pas publié d'indicateurs de compromission.
Contexte
La faille est signalée sans score CVSS public, l'analyse NVD étant encore en attente; c'est le qualificatif de l'éditeur, « highly critical », joint à l'exploitation confirmée, qui guide la priorisation. Elle s'inscrit dans une semaine où la couche web des éditeurs hôteliers a été sollicitée de toutes parts: cœur WordPress, PHP, Drupal. Les hébergeurs de sites de réservation sous Drupal doivent traiter cette mise à jour comme un changement prioritaire de la semaine.