Drupal Commerce : une faille déjà exploitée permet de contourner les contrôles d'accès des boutiques, le correctif est disponible

Le 28 octobre, l’équipe sécurité de Drupal a publié un avis classé « hautement critique » (note de 21 sur 25) concernant Commerce Core, le module (extension) qui transforme un site Drupal en boutique en ligne. La faille, référencée CVE-2026-118539 (identifiant public d’une vulnérabilité), tient à des routes et des champs insuffisamment protégés : un visiteur peut contourner les contrôles d’accès, avec un « impact financier » possible pour le marchand, et Drupal indique qu’elle est déjà exploitée. Les versions antérieures à 2.41 et les versions 3.0.0 à 3.3.12 sont concernées ; les correctifs sont Commerce Core 3.3.13 et 8.x-2.41. Nous signalions le 29 octobre les 953 boutiques Magento infectées via la faille PolyShell ; c’est cette fois l’autre grande plateforme libre de commerce en ligne qui est visée. Ce que cela change pour vous : si votre boutique tourne sous Drupal Commerce, demandez dès aujourd’hui à votre prestataire web de confirmer la version installée et d’appliquer le correctif, puis faites vérifier les commandes récentes (montants, remises, statuts) à la recherche d’incohérences, comme le recommande l’avis.