🔍 Contexte

Le 28 octobre 2026, l’équipe de sécurité Drupal a publié l’avis de sécurité SA-CONTRIB-2026-254 concernant le module Commerce Core (nom machine : commerce), utilisé pour la vente de biens et services via Drupal.

⚠️ Vulnérabilité

  • Type : Access bypass (contournement d’accès)
  • Criticité : Highly critical — score 21/25 (AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All)
  • CVE : CVE-2026-118539
  • Versions affectées : < 2.41 et >= 3.0.0 < 3.3.13

Le module ne protège pas suffisamment certaines routes et champs d’entités, permettant un contournement d’accès susceptible d’avoir un impact financier direct sur les vendeurs.

🚨 Exploitation active

L’avis confirme explicitement que cette vulnérabilité est activement exploitée dans la nature. Les sites sont invités à auditer leurs commandes pour détecter des incohérences.

🛠️ Correctifs disponibles

  • Branche 3.x : mettre à jour vers Commerce Core 3.3.13
  • Versions antérieures : mettre à jour vers Commerce Core 8.x-2.41

📋 Type d’article

Il s’agit d’un avis de sécurité officiel publié par l’équipe Drupal Security Team, visant à informer les administrateurs de sites Drupal de l’existence d’une vulnérabilité critique exploitée activement et à les orienter vers les versions corrigées.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)

IOC

  • CVEs : CVE-2026-118539 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🔴 Indice de vérification factuelle : 34/100 (basse)

  • ⬜ drupal.org — source non référencée (0pts)
  • ✅ 4285 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 1 TTP(s) MITRE (8pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.drupal.org/sa-contrib-2026-254