Drupal Commerce : faille critique activement exploitée, mise à jour urgente

Drupal a publié le 28 octobre 2026 un avis de sécurité critique visant Commerce Core, le socle de la boutique en ligne pour les sites qui utilisent Drupal Commerce. La faille, répertoriée CVE-2026-118539, permet de contourner des contrôles d’accès sur certaines routes et certains champs d’entité. Elle est déjà exploitée activement, ce qui change la nature de l’urgence : il ne s’agit plus d’un correctif à planifier à tête reposée, mais d’une mise à jour à vérifier dès aujourd’hui si votre boutique repose sur ce module.

Ce que dit l’avis officiel

L’avis SA-CONTRIB-2026-254, publié sur drupal.org, classe la faille en « hautement critique », avec un score de 21 sur 25 sur l’échelle de risque propre à Drupal (et non une note CVSS). Le vecteur retenu ne demande aucune authentification ni complexité d’accès particulière : dans certaines configurations, un visiteur non connecté peut atteindre des routes ou des champs qui devraient rester protégés. Drupal précise que l’exploit existe déjà et que la vulnérabilité « est activement exploitée dans la nature ».

Les versions concernées sont toutes celles de la branche 3.x antérieures à 3.3.13, ainsi que les versions 8.x-2.x antérieures à 8.x-2.41. La correction est disponible depuis la même date dans les versions 3.3.13 et 8.x-2.41 ; une version 3.3.14, publiée le 3 novembre 2026, a suivi avec des corrections supplémentaires. Cinq avis compagnons (SA-CONTRIB-2026-255 à SA-CONTRIB-2026-259), portant sur de la divulgation d’informations et des falsifications de requêtes intersites, ont été corrigés dans la même mise à jour.

Pourquoi cette faille menace directement votre boutique

Le risque n’est pas seulement technique. Un contournement d’accès sur Commerce Core touche le cœur du parcours d’achat : commandes, données client, moyens de paiement associés. Drupal recommande explicitement aux exploitants de vérifier leurs commandes existantes pour repérer des incohérences, ce qui laisse entendre que des commandes frauduleuses ou modifiées sont un scénario déjà observé. Pour une boutique de PME, cela peut se traduire par des commandes passées sans paiement valide, des remises appliquées sans autorisation, ou l’accès à des informations qui ne devraient être visibles que depuis un compte administrateur.

Le fait que l’exploitation soit active, et non théorique, change le calendrier : chaque jour sans la mise à jour est un jour d’exposition à une attaque déjà en circulation, pas à un risque hypothétique. Ce n’est pas la première fois qu’une faille critique touche une plateforme suivie par Frontend : WooCommerce a connu un cas comparable avec la faille PHP2Shell, et Drupal avait déjà dû corriger en octobre une faille critique du module Field UI. Le motif se répète : plus une boutique attend, plus la fenêtre d’exploitation s’allonge.

Ce qu’il faut vérifier et faire, maintenant

Drupal Commerce avait déjà fait l’objet d’une faille corrigée sur le tunnel de commande découplé en septembre 2026 ; voir cet article pour le contexte. Le module appelle une vigilance régulière, pas seulement une réaction ponctuelle. Pour cette faille précise, cinq vérifications s’imposent :

1. Identifier la version installée. Demandez à votre prestataire la version exacte de Commerce Core : toute version 3.x antérieure à 3.3.13, ou 8.x-2.x antérieure à 8.x-2.41, est vulnérable.
2. Mettre à jour sans délai. La cible est 3.3.13 au minimum (3.3.14, publiée le 3 novembre 2026, inclut des corrections supplémentaires) ou 8.x-2.41 sur l’ancienne branche.
3. Faire auditer les commandes récentes. Drupal recommande lui-même de vérifier les commandes pour détecter des incohérences de montant, de statut ou de client.
4. Vérifier les cinq avis compagnons. SA-CONTRIB-2026-255 à 259, corrigés dans la même version, concernent de la divulgation d’informations et des falsifications de requêtes intersites.
5. Obtenir une confirmation écrite. Si l’hébergement ou la maintenance est externalisée, demandez une confirmation datée que la mise à jour a bien été appliquée.

Ce qu’il faut retenir

• Faille hautement critique (CVE-2026-118539) sur Drupal Commerce Core, publiée le 28 octobre 2026.
• Elle est activement exploitée dans la nature : ce n’est pas un correctif de confort.
• Correctif disponible : 3.3.13 ou 3.3.14 sur la branche 3.x, 8.x-2.41 sur l’ancienne branche.
• Drupal recommande lui-même d’auditer les commandes récentes pour détecter des incohérences.