Betrifft Sie das?
- Betroffen: Unternehmen, deren Onlineshop auf Drupal mit Commerce Core läuft, sowie Agenturen und MSPs, die solche Shops für Kunden betreiben. Laut Mezha und RuntimeWire wird das Modul auf mehr als 42.000 gemeldeten Websites eingesetzt.
- Nicht betroffen, wenn: Ihr Shop auf einer anderen Plattform läuft oder Ihre Drupal-Website das Commerce-Modul nicht nutzt.
Was tun?
- Prüfen Sie, welche Commerce-Core-Version Sie einsetzen: auf Composer-verwalteten Websites mit
composer show drupal/commerce. - Im Zweig 3.x auf 3.3.13 wechseln, bei allem Älteren auf 8.x-2.41. Beide Versionen enthalten den Fix.
- Heute kein Update möglich? Drupal nennt keinen Workaround, nur das Update. Bis dahin sollten Sie aus unserer Sicht keine Bestellung versenden, bevor Ihr Zahlungsdienstleister die Zahlung bestätigt hat.
- Prüfen Sie nach dem Update die Bestellungen auf Unstimmigkeiten, wie Drupal es empfiehlt. Drupal sagt weder, wonach man suchen soll, noch, wann die Angriffe begannen; am 28. Oktober liefen sie bereits, prüfen Sie also auch Bestellungen aus der Zeit deutlich vor diesem Datum. Aus unserer Sicht: jede als bezahlt markierte Bestellung mit den Daten Ihres Zahlungsdienstleisters abgleichen und Preise und Rabatte mit dem vergleichen, was Sie tatsächlich berechnen.
- Bestellungen gefunden, die nicht stimmen? Aus unserer Sicht: deren Versand zurückhalten, bis die Zahlung bestätigt ist, und die Webserver-Logs aus diesem Zeitraum aufbewahren.
Was wir wissen – und was nicht
- Drupals Sicherheitshinweis SA-CONTRIB-2026-254 bewertet die Lücke mit 21 von 25 Punkten als hochkritisch und gibt an, dass sie aktiv ausgenutzt wird. Bestimmte Routen und Entity-Felder sind nicht ausreichend geschützt; der CVE-Eintrag stuft die Lücke als fehlende Autorisierung ein (CVE-2026-118539).
- Die Beschreibung im CVE-Eintrag, die Berichte zitieren, gibt die betroffenen Versionen als „0.0.0 bis 2.41, 3.0.0 bis 3.3.13“ an, als wären auch die korrigierten Versionen betroffen; der Hinweis und die Versionsdaten des Eintrags nennen nur Versionen unterhalb davon.
- Drupal macht keine Angaben dazu, wer angreift, wie viele Shops angegriffen wurden oder was die Angreifer ändern. RuntimeWire schreibt, die Lücke ziele auf Preise, Anpassungen und darauf, ob eine Zahlung überhaupt erfolgt ist; der Hinweis selbst sagt nur, dass sie dem Verkäufer finanziell schaden kann.
- Die Bewertungen gehen auseinander. Der CISA-Eintrag im CVE-Datensatz bewertet die Lücke mit 6,5 (mittel), und CISAs Einschätzung vom 30. Oktober verzeichnete keine bekannte Ausnutzung; im CISA-Katalog ausgenutzter Schwachstellen stand die Lücke an diesem Tag nicht. Das Sicherheitsteam von Drupal, das den Hinweis veröffentlicht hat, sagt, dass sie ausgenutzt wird.
Warum das wichtig ist
Diese Lücke sitzt direkt am Geld: an der Bestellung und laut RuntimeWire an ihrem Preis und Zahlungsstatus. Ein Update stoppt weiteren Missbrauch, aber nur ein Blick in vergangene Bestellungen zeigt, ob Ware schon unbezahlt das Lager verlassen hat.