L’équipe de sécurité Drupal indique que CVE-2026-118539, une faille de contournement d’accès dans le module contribué Drupal Commerce, est exploitée. Son avis précise les versions 2.x et 3.x concernées ainsi que les versions corrigées. Les responsables doivent comparer leur version à ces plages, sans supposer que tous les sites Drupal sont touchés.
Ce que confirme l’avis
Drupal a publié l’avis SA-CONTRIB-2026-254 le 28 octobre et indique une exploitation active. Le 29 octobre, Centarro, mainteneur de Drupal Commerce, a signalé deux rapports de tentatives de commandes frauduleuses et indiqué ne pas croire à une exploitation automatisée ou étendue au-delà des premiers sites observés. SC Media et SecurityWeek ont relayé l’alerte et les mesures de correction. L’avis Drupal reste la source de référence pour les versions concernées et la mise à niveau.
La faille porte sur Drupal Commerce, et non sur la seule installation de Drupal core. Le site doit utiliser une version vulnérable de Commerce pour être concerné par cette vulnérabilité.
Versions concernées et correctifs
Drupal indique que les versions antérieures à 2.41 et les versions de 3.0.0 à 3.3.12 sont concernées. Les correctifs sont Drupal Commerce 8.x-2.41 ou 3.3.13, selon la branche installée. Vérifiez cette branche et suivez l’avis du projet avant la mise à niveau.
Drupal attribue un score de risque de sécurité de 21/25. Ce score et l’exploitation active justifient une action rapide, mais ne donnent ni le nombre de boutiques attaquées ni la preuve qu’une boutique particulière a été compromise.
Ce qu’implique un contournement d’accès
Une erreur de contrôle d’accès peut permettre à une personne non authentifiée ou insuffisamment autorisée d’atteindre une fonction réservée à un autre rôle. Les conditions et actions concernées figurent dans l’avis Drupal. La seule annonce de la faille ne permet pas de conclure à un vol de données de carte bancaire ou de tous les dossiers clients.
Pour une boutique, des changements inattendus de comptes, commandes, contenus ou paramètres d’administration doivent être examinés. L’alerte d’exploitation invite à rechercher des indices plutôt qu’à considérer le correctif comme une réponse complète à un incident.
Mesures pour les administrateurs
Inventoriez les versions de Drupal Commerce en production, en préproduction et sur les installations moins visibles. Appliquez la version corrigée correspondant à la branche, puis vérifiez le code et les dépendances déployés. Drupal recommande explicitement d’auditer les commandes pour repérer les incohérences, car la faille est activement exploitée. Examinez aussi les journaux web, applicatifs, d’authentification et de commerce à la recherche de requêtes ou changements de privilèges inhabituels.
En présence d’indices d’exploitation, préservez les journaux et suivez une procédure de réponse: restreignez les comptes suspects, renouvelez les identifiants et secrets potentiellement exposés, puis évaluez les obligations d’information à partir de faits vérifiés.
Ce que les sources ne démontrent pas
Drupal confirme l’exploitation active. Centarro rapporte deux signalements de tentatives de commandes frauduleuses et précise qu’au 29 octobre, ses mainteneurs ne pensaient pas que l’exploitation avait été automatisée ou dépassé les premiers sites observés. Cela ne constitue ni un décompte complet des tentatives ni une garantie qu’une boutique particulière n’a pas été touchée; vérifiez les commandes et journaux de votre propre site.
Le lien avec Soclyde
Des mots de passe administrateur uniques réduisent les risques de réutilisation, mais ne corrigent pas un défaut d’autorisation applicatif. Soclyde conserve un coffre chiffré sur les appareils des utilisateurs plutôt que dans un coffre cloud centralisé exploité par Soclyde. Consultez notre guide sur le stockage local ou cloud des mots de passe.
À retenir
Drupal signale l’exploitation active d’une faille propre à certaines versions de Commerce et publie des versions corrigées. Identifiez votre branche, mettez-la à jour sans tarder et recherchez d’éventuelles traces d’accès au-delà de ce que l’avis public établit.
