Quand les règles d'accès d'une boutique en ligne ne protègent plus rien
Une faille critique de contournement d'autorisation touche Drupal Commerce Core, et elle n'est pas théorique : les mainteneurs confirment des attaques en cours. Si vous exploitez une boutique Drupal, cette alerte mérite d'être traitée aujourd'hui, pas au prochain sprint.
Ce que l'on sait de la vulnérabilité
La faille est référencée sous l'identifiant CVE-2026-118539. Elle concerne le composant Commerce Core de Drupal, dans deux plages de versions :
- de 0.0.0 à 2.41 pour la branche historique ;
- de 3.0.0 à 3.3.13 pour la branche 3.x.
Selon l'avis publié, la protection de certaines routes et de certains champs d'entités n'est pas correctement appliquée. Le point sensible est l'endroit où elle se manifeste : les flux de commande (checkout) et les API. Ce sont précisément les zones où l'on manipule des paniers, des montants, des adresses et des états de paiement.
Les mainteneurs confirment une exploitation réelle, sans préciser l'ampleur des attaques ni leur déroulement. Faute de détails, mieux vaut partir du principe pessimiste : toute instance exposée et non corrigée est une cible potentielle. La découverte a été attribuée aux chercheurs Dan Puccetti, Marcus Johansson et Robert Snyder.
Pourquoi un contournement d'autorisation est si délicat en e-commerce
Une faille d'autorisation ne casse pas le chiffrement ni ne force un mot de passe : elle fait en sorte que le système réponde "oui" à une requête qu'il aurait dû refuser. Dans Drupal, ce contrôle repose sur plusieurs couches : l'accès aux routes, les permissions sur les entités et la protection au niveau des champs. Quand l'une d'elles est mal appliquée, un utilisateur non autorisé peut atteindre une ressource ou modifier une valeur qui lui était interdite.
Sur un site de vente, les conséquences possibles sont concrètes :
- lecture de données de commande qui ne devraient pas être visibles ;
- modification de champs sensibles d'une commande ou d'un panier ;
- appels d'API qui sautent des étapes normalement obligatoires du tunnel de commande.
L'avis évoque un risque de perte financière pour les propriétaires de boutiques. Cela cadre avec la nature des routes et champs concernés, même si aucun scénario d'attaque précis n'a été publié.
Que faire concrètement
1. Identifier votre version
Vérifiez la version installée de Commerce Core, par exemple avec Composer :
composer show drupal/commerce
2. Mettre à jour vers une version corrigée
Les versions recommandées sont les suivantes :
- branche 3.x : version 3.3.13 ;
- branche plus ancienne : version 8.x-2.41.
La mise à jour passe par Composer, puis par les commandes habituelles de Drupal :
composer update drupal/commerce --with-dependencies
drush updatedb -y
drush cache:rebuild
Adaptez ces commandes à votre chaîne de déploiement : testez d'abord en préproduction si vous le pouvez, mais sans laisser traîner, puisque l'exploitation est déjà confirmée.
3. Vérifier les traces d'une éventuelle exploitation
Sans détails publics sur les attaques, soyez attentif à ce qui est observable dans vos journaux :
- requêtes inhabituelles sur les routes de checkout et sur les endpoints d'API ;
- commandes dont les montants ou statuts semblent incohérents ;
- modifications de champs d'entités par des comptes qui n'auraient pas dû y avoir accès.
Si vous trouvez des anomalies, conservez les journaux avant toute rotation et traitez l'incident comme une compromission potentielle.
4. Renforcer la routine de veille
Ce type d'alerte rappelle l'intérêt d'un processus de mise à jour rodé : abonnement aux avis de sécurité Drupal, intégration de composer audit dans la CI, et environnement de préproduction fidèle à la production pour valider les correctifs rapidement.
Source et suite
L'information provient d'un article relayé sur DEV Community : Drupal warns of attacks on e-commerce plugin. Référez-vous toujours à l'avis de sécurité officiel de Drupal pour les détails à jour.
Ce que ça change pour vous
Si votre boutique en ligne tourne sous Drupal avec le module de vente Commerce, une faille grave est actuellement utilisée par des attaquants. Elle peut permettre de passer outre certaines règles de votre processus de commande, avec un risque de perte d'argent pour vous. Un correctif existe : demandez dès aujourd'hui à votre prestataire de l'installer et de vous confirmer par écrit que c'est fait. Demandez aussi qu'il vérifie si des commandes ou des données ont été touchées avant la mise à jour.
Conclusion
La CVE-2026-118539 est un cas d'école : une faille d'autorisation sur des routes et champs critiques, des attaques déjà observées, et un correctif disponible. Mettre à jour vers 3.3.13 ou 8.x-2.41, contrôler les journaux et solidifier votre processus de veille sont les trois actions à engager sans attendre.
