Une faille du module boutique de Drupal sert à passer des commandes à un centime

Des commandes passées à un prix manifestement faux, comme un centime. D'autres à un prix normal, mais tout aussi frauduleuses. C'est ce que deux marchands ont trouvé dans leurs boutiques en ligne, selon Centarro, la société qui maintient Commerce Core. Ce module transforme le gestionnaire de contenu Drupal en site marchand.

Le 28 octobre, l'équipe de sécurité de Drupal a publié l'avis SA-CONTRIB-2026-254, qui corrige une faille de Commerce Core référencée CVE-2026-118539. Elle est notée « hautement critique », avec un score de 21 sur 25. L'avis le dit sans détour : la faille est activement exploitée. D'après Drupal, le module est installé sur plus de 42 000 sites.

Pas besoin de compte pour en profiter

Drupal décrit un contournement des contrôles d'accès. Certaines routes et certains champs du module ne sont pas assez protégés, ce qui « peut avoir un impact financier pour le vendeur ». Un visiteur anonyme peut exploiter la faille sans aucune compétence particulière. Toutes les configurations du module sont concernées.

L'avis Drupal ne précise ni la méthode d'attaque, ni l'origine des attaques, ni le nombre de sites visés. Centarro donne quelques éléments de plus. Les boutiques classiques comme les boutiques dites « headless », dont le site public est séparé de Drupal, sont concernées, mais par des chemins différents. Selon l'éditeur, la faille était théoriquement exploitable depuis la version 8.x-2.18 de mai 2020 pour les sites qui utilisent l'interface de programmation JSON:API, et depuis la 8.x-2.25 de juin 2021 pour les autres. Centarro et l'équipe de sécurité de Drupal disent ne pas croire, à ce stade, que la faille ait été exploitée de manière automatisée, ni au-delà des premiers sites signalés.

Les versions à installer tout de suite

• Branche 3.x : passer à Commerce Core 3.3.13 (les versions 3.0.0 à 3.3.12 sont vulnérables).
• Branches plus anciennes : passer à Commerce Core 8.x-2.41.

Le même jour, des correctifs de sécurité sont sortis pour Commerce API, Commerce License, Commerce Shipping et Commerce Stripe. D'après SecurityWeek, l'un d'eux corrige une faille qui pouvait marquer comme payées des commandes passées par Stripe sans paiement réel. Mettez-les à jour dans la foulée.

Comment savoir si votre boutique a été visée ?

Mettre à jour ne suffit pas : les fausses commandes déjà enregistrées restent dans la base. Drupal demande d'« auditer les commandes à la recherche d'incohérences ». Centarro détaille quatre vérifications :

1. les commandes passées mais non payées, sans paiement en attente ni autorisé (hors commandes gratuites légitimes) ;
2. les commandes marquées payées sans paiement enregistré, surtout si votre site autorise les modifications par JSON:API ;
3. les prix anormaux qu'aucune promotion n'explique, et l'option « Override the unit price » activée sans raison ;
4. les remises, frais ou ajustements qu'aucun membre de l'équipe n'a ajoutés.

Centarro publie des requêtes SQL pour chacun de ces cas. Elles peuvent aussi remonter des commandes légitimes : un examen manuel reste nécessaire. Le meilleur moyen de confirmer un abus consiste à rapprocher l'adresse IP et l'heure de la commande des journaux d'accès aux pages /checkout/.

Deux conseils de bon sens complètent la liste : ne jamais expédier une commande sans avoir vérifié que le paiement a bien été encaissé, et passer JSON:API en lecture seule si vous n'avez pas besoin d'y écrire.

Deux semaines après d'autres failles critiques

Mi-octobre, Drupal avait déjà corrigé deux failles critiques d'exécution de code à distance, sans exploitation connue à l'époque. Cette fois, l'avis signalait une exploitation active dès la publication du correctif. Reste à savoir si l'agence américaine de cybersécurité, la CISA, ajoutera la faille à son catalogue des vulnérabilités exploitées. Ce n'était pas le cas le 30 octobre, selon Rescana.