Des acteurs malveillants exploitent en ce moment même une faille d’autorisation dans le module Commerce Core de Drupal. Il s’agit d’une vulnérabilité de type « manque d’autorisation » (Missing Authorization) qui permet un contournement d’accès, menaçant directement les fonctionnalités d’e-commerce des sites concernés. Selon l’avis de sécurité de Drupal, cette situation présente un risque très élevé, car des attaquants non authentifiés peuvent tirer profit de cette lacune, quelle que soit la configuration initiale du module.

Le problème est identifié sous la référence CVE-2026-118539 et touche les versions de Commerce Core allant de 0.0.0 jusqu’à 2.41, ainsi que les versions 3.0.0 à 3.3.13. Drupal a confirmé l’activité d’exploitation en situation réelle, incitant les propriétaires de boutiques en ligne à auditer immédiatement leurs commandes pour détecter d’éventuelles incohérences financières dues à cette brèche.

Ce qui est touché et la gravité réelle

Le module Commerce Core, qui intègre le panier d’achat et le processus de paiement, est utilisé sur plus de 42 000 sites, ce qui confère à cette faille une portée considérable. L’équipe de sécurité de Drupal a attribué à cette faille un score de risque de 21 sur 25. Il faut comprendre que ce n’est pas seulement une question de visualisation ; le contournement d’autorisation peut avoir des répercussions financières directes sur les vendeurs, comme le souligne l’avis officiel.

Ce type de défaut résulte d’une vérification insuffisante des droits d’accès sur certaines routes et champs d’entité. En clair, le système ne valide pas suffisamment si l’utilisateur qui effectue l’action est bien habilité à le faire.

Qui doit agir et comment

La réponse de Drupal est claire : une mise à jour est impérative. Les administrateurs doivent migrer vers les versions corrigées du module. Il est conseillé de vérifier également les autres alertes de sécurité publiées récemment, car Drupal a récemment mis à jour 38 projets contribués, dont plusieurs classés comme critiques, incluant des risques de prise de contrôle de compte.

Au-delà de cette menace spécifique, le constat de la fragilité des systèmes open source est récurrent. On rappelle, par exemple, que des vulnérabilités plus anciennes, comme l’injection SQL dans l’API d’abstraction de base de données PostgreSQL (CVE-2026-9082), ont déjà fait l’objet de tentatives d’exploitation. Même si d’autres failles, telles que celles impactant les modules Field UI (CVE-2026-108097) ou Entity List (CVE-2026-108099), montrent des preuves de concept, l’urgence actuelle repose sur la correction de l’accès non autorisé au sein de la plateforme de commerce.

En attendant les mises à jour, il est conseillé aux équipes de surveillance de renforcer les journaux d’audit des transactions pour détecter tout comportement anormal dans le traitement des commandes.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Security advisories, drupal.org
• Drupal Commerce Core Vulnerability Exploited Against Online Stores, SecurityWeek, 30 octobre 2026
• Drupal warns of critical Commerce Core flaw exploited in attacks, BleepingComputer, 30 octobre 2026
• Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw, The Hacker News, 30 octobre 2026
• GHSA-x75q-mvwp-2h36 : Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection’)…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-108097, NVD (NIST)
• GHSA-9xvr-v24x-c9rf : Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection’)…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-108099, NVD (NIST)
• GHSA-372m-625x-8m53 : Missing Authorization vulnerability in Drupal Commerce Core allows Forceful Browsing.…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-118539, NVD (NIST)