Êtes-vous concerné ?
- Concernés : les entreprises dont la boutique en ligne tourne sous Drupal avec Commerce Core, ainsi que les agences et MSP qui gèrent de telles boutiques pour leurs clients. Selon Mezha et RuntimeWire, le module équipe plus de 42 000 sites recensés.
- Vous n'êtes pas concerné si : votre boutique tourne sur une autre plateforme, ou si votre site Drupal n'utilise pas le module Commerce.
Que faire
- Vérifiez quelle version de Commerce Core vous utilisez : sur les sites gérés avec Composer,
composer show drupal/commerce. - Sur la branche 3.x, passez à la version 3.3.13 ; sur toute version plus ancienne, à la version 8.x-2.41. Les deux versions contiennent le correctif.
- Impossible de mettre à jour aujourd'hui ? Drupal ne propose aucune solution de contournement, seulement la mise à jour. D'ici là, à notre avis, n'expédiez aucune commande avant que votre prestataire de paiement ne l'ait confirmée.
- Après la mise à jour, recherchez des incohérences dans les commandes, comme le demande Drupal. Drupal ne précise ni quoi chercher ni quand les attaques ont commencé ; elles étaient déjà en cours le 28 octobre, alors faites remonter la vérification bien avant cette date. À notre avis, comparez chaque commande marquée comme payée avec l'historique des transactions de votre prestataire de paiement, et vérifiez prix et remises par rapport à ce que vous facturez réellement.
- Des commandes ne correspondent pas ? À notre avis, bloquez leur expédition jusqu'à confirmation du paiement et conservez les journaux du serveur web de cette période.
Ce que l'on sait – et ce que l'on ignore
- L'avis de sécurité SA-CONTRIB-2026-254 de Drupal attribue à la faille un score de 21 sur 25 (hautement critique) et indique qu'elle est activement exploitée. Certaines routes et certains champs d'entité ne sont pas suffisamment protégés ; la fiche CVE la classe comme une absence de contrôle d'autorisation (CVE-2026-118539).
- La description de la fiche CVE, citée par la presse, donne la plage concernée comme « 0.0.0 à 2.41, 3.0.0 à 3.3.13 », comme si les versions corrigées étaient touchées ; l'avis et les données de version de la fiche ne listent que les versions antérieures à celles-ci.
- Drupal ne donne aucun détail sur les attaquants, le nombre de boutiques touchées ou ce que les attaquants modifient. RuntimeWire affirme que la faille vise les prix, les ajustements et le fait qu'un paiement ait réellement eu lieu ; l'avis lui-même dit seulement qu'elle peut avoir un impact financier pour le vendeur.
- Les évaluations divergent. L'entrée de la CISA dans la fiche CVE lui attribue un score de 6,5 (gravité moyenne) et son évaluation du 30 octobre ne relevait aucune exploitation connue ; la faille ne figurait pas ce jour-là dans le catalogue des vulnérabilités exploitées de la CISA. L'équipe de sécurité de Drupal, qui a publié l'avis, affirme qu'elle est exploitée.
Pourquoi c'est important
Cette faille touche directement à l'argent : la commande et, selon RuntimeWire, son prix et son statut de paiement. Une mise à jour empêche de nouveaux abus, mais seul un examen des commandes antérieures montre si des marchandises ont déjà quitté l'entrepôt sans avoir été payées.