Une faille d'accès contourné active, ciblant les transactions e-commerce

Drupal a confirmé que la vulnérabilité CVE-2026-118539, classée comme critique avec un score de risque de 21/25 par l'équipe de sécurité du CMS, est actuellement exploitée dans la nature. Selon les statistiques de Drupal, le module Commerce Core, utilisé pour gérer les transactions en ligne via des paniers d'achat ou des APIs, est déployé sur plus de 42 000 sites à travers le monde. La faille permet à des attaquants non authentifiés de contourner les autorisations et d'accéder à des routes ou entités non protégées, comme l'a détaillé l'équipe de sécurité dans son avis du 28 octobre.

La description technique de la vulnérabilité, publiée par Threat Radar, précise qu'il s'agit d'une autorisation manquante (CWE-862) permettant le forceful browsing, une technique où les attaquants accèdent à des ressources en devinant ou forçant des URLs. Drupal recommande explicitement de mettre à jour vers les versions corrigées : 3.3.13 pour les versions 3.x et 2.41 pour les versions 8.x. Malgré cette recommandation, aucune preuve publique d'exploitation n'a été enregistrée dans des bases comme Metasploit ou Exploit-DB, selon OffSeq, bien que l'équipe Drupal insiste sur son exploitation active.

La vulnérabilité permet à des attaquants non authentifiés de contourner les protections et d'impacter financièrement les vendeurs en manipulant des commandes ou en accédant à des données sensibles.

Un impact financier direct pour les vendeurs en ligne

L'équipe de sécurité de Drupal a souligné que cette faille pourrait avoir des conséquences financières directes pour les vendeurs. En citant des exemples concrets, elle explique que le module ne protège pas suffisamment certaines routes et champs d'entités, permettant ainsi à des attaquants de manipuler des commandes ou d'accéder à des informations sensibles. SecurityWeek rapporte que Drupal a même conseillé aux administrateurs de sites d'auditer leurs commandes pour détecter des incohérences, signe que des attaques sont déjà en cours.

La citation officielle de Drupal résume bien le risque : « The module doesn’t sufficiently protect certain routes and entity fields, leading to an access bypass that may financially impact the vendor. » Cela signifie que des cybercriminels pourraient, par exemple, modifier des commandes en cours de traitement, annuler des paiements, ou accéder à des données clients sensibles via des APIs exposées.

Ce que cela change ici : risques pour les entreprises et administrations d'Afrique de l'Ouest

Pour les entreprises et administrations du Bénin et d'Afrique de l'Ouest utilisant Drupal Commerce Core pour leurs plateformes e-commerce, cette vulnérabilité représente un risque immédiat. Si des sites locaux sont exploités, les conséquences pourraient inclure des pertes financières (fraudes sur les transactions), une perte de confiance des clients, ou même des fuites de données sensibles liées aux paiements en ligne. Par exemple, des institutions publiques utilisant Drupal pour des services de paiement en ligne, comme des régies ou des plateformes de collecte de taxes, pourraient voir leurs systèmes compromis.

Les organisations dépendant de ce module devraient prioriser la mise à jour vers les versions corrigées (3.3.13 ou 2.41) et vérifier l'intégrité de leurs transactions récentes. Une audit des logs d'accès et des commandes pourrait révéler des activités suspectes. Enfin, comme le souligne Drupal, cette faille s'ajoute à d'autres vulnérabilités critiques récentes, comme les failles d'injection SQL (CVE-2026-9082) ou les exécutions de code à distance (CVE-2026-108097 et CVE-2026-108099), qui ont déjà été exploitées avec succès. Cela renforce l'urgence d'adopter une stratégie proactive de correction des vulnérabilités, notamment pour les environnements où la sécurité des transactions est critique.

Drupal multiplie les alertes : un contexte de menaces accrues

Cette vulnérabilité s'inscrit dans une série d'alertes récentes de la part de Drupal. Le 28 octobre, l'équipe a publié 38 avis de sécurité, dont 12 critiques, couvrant des failles allant de l'exécution de code à distance à la prise de contrôle de comptes. Parmi elles, deux failles d'exécution de code à distance (CVE-2026-108097 et CVE-2026-108099) ont été corrigées seulement deux semaines avant l'annonce de la faille Commerce Core, selon BleepingComputer. De plus, la US Cybersecurity and Infrastructure Security Agency (CISA) a ajouté la faille d'injection SQL CVE-2026-9082 à son catalogue des vulnérabilités exploitées (KEV), ordonnant aux agences fédérales américaines de la corriger sous trois jours.

Ces éléments montrent une augmentation des attaques ciblant Drupal, y compris par des groupes organisés. Par exemple, la CISA indique que deux vulnérabilités Drupal ont déjà été exploitées par des groupes de ransomware. Pour les organisations utilisant Drupal, cela souligne la nécessité de surveiller activement les mises à jour de sécurité et d'appliquer les correctifs dès leur publication, surtout pour les modules critiques comme Commerce Core.