CVE-2026-118539 : Drupal Commerce auth bypass exploité

Les faits

CVE-2026-118539 est une vulnérabilité de type access bypass (contournement d'autorisation) affectant le module Commerce Core pour Drupal, l'un des systèmes e-commerce open source les plus déployés sur la plateforme Drupal. Découverte et signalée à l'équipe de sécurité Drupal via le programme de divulgation responsable, la vulnérabilité a reçu un score de risque de 21 sur 25 dans le système de notation de la sécurité Drupal — le score le plus élevé attribué à un module contribué cette année. L'équipe de sécurité Drupal a publié l'advisory SA-CONTRIB-2026-254 le 29 octobre 2026.

Techniquement, CVE-2026-118539 résulte d'une protection insuffisante de certaines routes et champs d'entités dans le module Commerce Core. Plus précisément, le module ne vérifie pas correctement les autorisations d'accès avant de traiter certaines requêtes liées aux commandes (orders) et aux entités commerce associées. Un attaquant non authentifié peut envoyer des requêtes HTTP spécialement forgées vers ces routes non protégées pour accéder à des données de commandes, modifier des prix, ou déclencher des traitements de commandes dans des conditions non autorisées. La vulnérabilité permet notamment de soumettre des commandes à des prix arbitrairement bas — des cas d'exploitation documentés montrent des achats à 0,01 dollar pour des produits de valeur significative.

L'implémentation de Commerce Core repose sur le système d'entités Drupal (Entity API) et le système de routing Symfony. La faille se situe dans la logique d'access control au niveau des routes d'API internes utilisées pour les opérations de panier et de checkout. Selon l'advisory SA-CONTRIB-2026-254, la vulnérabilité existe quelle que soit la configuration du module — même les configurations les plus restrictives ne protègent pas contre l'exploitation. L'attaquant peut exploiter la faille via des requêtes HTTP standard sans nécessiter de session authentifiée, de token CSRF valide pour les endpoints concernés, ni d'accès à d'autres fonctionnalités du site.

L'exploitation active a été confirmée par de multiples sources de threat intelligence. SecurityWeek rapporte des compromissions confirmées sur des boutiques en ligne utilisant Drupal Commerce, avec des pertes financières directes. The Hacker News cite des campagnes automatisées utilisant des scanners de masse pour identifier les instances vulnérables, suivies d'exploitations ciblées. Les attaques observées suivent deux patterns principaux : les attaques à impact financier direct (achat de produits à prix frauduleux, manipulation des totaux de commandes, accès aux données de commandes d'autres clients) et les attaques de reconnaissance (extraction de listes de commandes et données clients pour des opérations de fraude ultérieures).

Le module Commerce Core est utilisé sur plus de 42 000 sites dans le monde selon les statistiques officielles de Drupal.org. Ce chiffre représente uniquement les installations déclarées — le nombre réel est probablement supérieur, de nombreux sites n'activant pas le reporting d'utilisation. Les secteurs les plus touchés sont le commerce de détail, les associations et ONGs utilisant Drupal Commerce pour leurs boutiques de collecte de fonds, les éditeurs de presse proposant des abonnements, et les organismes de formation vendant des cursus en ligne. En France, Drupal reste largement utilisé dans les collectivités territoriales, l'enseignement supérieur et les administrations publiques — un segment potentiellement touché si ces entités utilisent Commerce Core pour des paiements en ligne.

La chronologie de la vulnérabilité révèle un délai de divulgation relativement court. Le signalement a été reçu par l'équipe de sécurité Drupal le 15 octobre 2026. La version corrigée a été préparée sous embargo et publiée le 29 octobre 2026, soit 14 jours après le signalement — un délai conforme aux standards de divulgation responsable pour une vulnérabilité critique. L'exploitation active observée dans les premières heures suivant la publication de l'advisory suggère soit une exploitation indépendante avant divulgation, soit une rétro-ingénierie ultra-rapide du correctif par des acteurs malveillants.

L'aspect le plus préoccupant de CVE-2026-118539 est son impact financier direct et mesurable. Contrairement à de nombreuses vulnérabilités qui permettent la compromission de serveurs ou le vol de données, cette faille permet directement des fraudes e-commerce : obtention de produits ou services sans paiement légitime, ou au prix unitaire de 0,01 dollar. Pour les marchands, cela se traduit par des pertes financières immédiates qui peuvent ne pas être détectées immédiatement si les processus de vérification des commandes sont insuffisants. L'advisory Drupal SA-CONTRIB-2026-254 recommande explicitement aux sites affectés d'auditer leurs commandes passées pour identifier toute anomalie — un signe que des transactions frauduleuses peuvent avoir eu lieu avant l'application du correctif.

La réponse de la communauté Drupal a été rapide. Drupal Security Team a publié l'advisory SA-CONTRIB-2026-254 avec les versions corrigées disponibles immédiatement. Le module a été mis à jour vers les versions 3.3.13 (pour la branche 3.x) et 8.x-2.41 (pour la branche 2.x). Les sites utilisant la branche 1.x, désormais non supportée, doivent migrer vers une branche supportée. L'équipe Drupal a également signalé que cette vulnérabilité sera prise en compte dans les prochains cycles d'audit de sécurité du code Commerce Core pour identifier d'éventuelles failles similaires dans d'autres sous-modules du projet.

Impact et exposition

CVE-2026-118539 affecte directement toutes les installations de Drupal utilisant le module Commerce Core dans les versions antérieures aux correctifs. L'exposition est maximale pour les boutiques en ligne à volume de transactions élevé, où les pertes financières peuvent être significatives avant détection. La vulnérabilité ne nécessite aucune authentification, ce qui signifie que n'importe quel visiteur anonyme d'un site vulnérable peut tenter l'exploitation. Les sites e-commerce accessibles publiquement sur Internet sont exposés à des tentatives automatisées d'exploitation dès lors que la vulnérabilité a été rendue publique.

L'impact va au-delà de la simple manipulation de prix. L'access bypass permet également d'accéder aux données de commandes d'autres clients — exposant potentiellement des informations personnelles et financières (noms, adresses de livraison, historiques d'achats) en violation du RGPD. Les sites e-commerce en Europe exploités sur des installations vulnérables peuvent être soumis à une obligation de notification aux autorités de protection des données (CNIL en France) si une compromission de données personnelles est confirmée. Le délai de notification RGPD est de 72 heures après découverte d'une violation.

Les plateformes e-commerce Drupal utilisées par des associations ou organisations caritatives présentent un risque particulier : les dons et transactions financières peuvent être manipulés, et les données des donateurs exposées. Les entités du secteur public utilisant Drupal Commerce pour des paiements en ligne (amendes, taxes locales, inscriptions à des services publics) doivent traiter cette vulnérabilité en priorité absolue en raison des obligations réglementaires et de la sensibilité des données traitées.

Recommandations immédiates

• Mettre à jour Commerce Core vers la version 3.3.13 (branche 3.x) ou 8.x-2.41 (branche 2.x) — advisory : Drupal SA-CONTRIB-2026-254
• Si mise à jour impossible immédiatement : désactiver temporairement le module Commerce Core et bloquer l'accès au frontend e-commerce via le reverse proxy
• Auditer toutes les commandes passées depuis le 15 octobre 2026 (date probable de début d'exploitation) pour identifier des anomalies : commandes à prix anormalement bas, commandes multiples du même utilisateur anonyme, commandes avec montants incohérents
• Vérifier les logs d'accès du serveur web pour des patterns d'exploitation : nombreuses requêtes vers des endpoints de checkout/order depuis des IPs non familières
• Si des commandes frauduleuses sont identifiées : contacter votre prestataire de paiement pour annulation et, si des données personnelles clients ont été exposées, notifier la CNIL dans les 72 heures (obligation RGPD)
• Mettre à jour Drush ou Composer pour faciliter les mises à jour futures : composer update drupal/commerce