Si votre boutique en ligne tourne sous Drupal avec le module Commerce, une mise à jour s'impose cette semaine. Le 28 octobre 2026, l'équipe de sécurité de Drupal a publié un avis sur une faille du module Commerce Core, référencée CVE-2026-118539, et précisé qu'elle est déjà exploitée. Si vous constatez des anomalies sur votre boutique, notre page boutique en ligne piratée détaille la démarche de remise en état, et la rubrique dépannage présente le diagnostic gratuit.
Ce que dit l'avis de Drupal
Commerce Core est le module qui apporte à Drupal le panier, le tunnel de commande et la gestion des ventes. L'avis SA-CONTRIB-2026-254 décrit un défaut d'autorisation : certaines routes et certains champs ne sont pas suffisamment protégés. Conséquence : une personne sans compte peut contourner des contrôles d'accès. Drupal indique que cela peut avoir un impact financier pour le commerçant et classe la faille « hautement critique », avec un score de 21 sur 25 sur son échelle.
Drupal n'a pas publié la liste précise des routes et des champs concernés, ce qui est habituel tant que des boutiques restent à corriger. Méfiez-vous donc des articles qui affirment savoir exactement ce que l'attaquant peut modifier : l'avis officiel reste volontairement général.
Les versions concernées et corrigées
- Branche 3.x : toutes les versions antérieures à 3.3.13 sont vulnérables. Mettez à jour vers 3.3.13 ou plus récent.
- Branche 2.x : toutes les versions antérieures à 8.x-2.41 sont vulnérables. Mettez à jour vers 8.x-2.41 ou plus récent.
Ces versions corrigent aussi d'autres failles moins graves. La branche 1.x, qui fonctionne sur Drupal 7, n'est pas couverte par l'avis. Drupal 7 ne reçoit plus de correctifs de sécurité officiels depuis le 5 janvier 2025 : une boutique encore sur Drupal 7 vit sans filet, et la question d'une migration se pose indépendamment de cette faille.
Les gestes à faire maintenant
- Faites une sauvegarde complète (fichiers et base de données) avant toute mise à jour. Gardez-la à part : si une intrusion a déjà eu lieu, elle servira aussi de preuve.
- Mettez à jour Commerce Core avec Composer, puis lancez les mises à jour de la base de données (drush updatedb ou la page update.php) et videz les caches.
- Vérifiez que la mise à jour est bien en place : la page Rapports, puis Mises à jour disponibles, doit afficher la nouvelle version sans alerte de sécurité.
- Contrôlez les commandes récentes, comme Drupal le recommande explicitement. C'est le point le plus souvent oublié.
Quoi regarder dans les commandes
Drupal ne détaille pas le scénario d'attaque, mais il demande de rechercher des incohérences. Concrètement, comparez sur les dernières semaines :
- les montants des commandes avec le prix des produits au moment de l'achat ;
- les remises et codes promotionnels appliqués, surtout ceux que vous ne connaissez pas ;
- les commandes passées au statut payé ou expédié sans paiement correspondant chez votre prestataire (Stripe, PayPal, banque) ;
- les adresses de livraison qui reviennent sur plusieurs commandes de clients différents ;
- les comptes clients créés en série sur une courte période.
Le rapprochement entre les commandes Drupal et les paiements réellement encaissés chez votre prestataire est la vérification la plus fiable. Une commande « payée » sans encaissement correspondant doit être bloquée avant expédition.
Les signes d'une intrusion plus large
Une faille d'autorisation dans un module de boutique ne donne pas forcément accès au serveur. Mais une boutique qui a été visée peut l'avoir été par d'autres voies. Ouvrez l'œil sur :
- des comptes administrateurs ou des rôles que vous n'avez pas créés ;
- des fichiers PHP récents dans le dossier sites/default/files ;
- un code JavaScript inconnu ajouté sur les pages de paiement ;
- des clients qui signalent une fraude sur leur carte après un achat chez vous.
Si des données personnelles de clients ont pu être consultées, vous avez une obligation de notification à la CNIL dans les 72 heures après en avoir pris connaissance, quand la violation présente un risque pour les personnes. Notre page fuite de données et RGPD explique la marche à suivre.
Et si vous êtes sur WooCommerce ou PrestaShop ?
Cette faille ne concerne que Drupal Commerce. Mais la leçon vaut pour toutes les boutiques : un module de paiement ou de panier non mis à jour expose directement votre chiffre d'affaires. Les bonnes pratiques sont les mêmes : mises à jour suivies chaque semaine, sauvegardes stockées hors de l'hébergement, et rapprochement régulier entre commandes et encaissements. Pour WooCommerce, voyez aussi notre page WooCommerce piraté.
Besoin d'aide ?
Nous pouvons faire la mise à jour, contrôler les commandes et chercher d'éventuelles traces d'intrusion. Si la boutique a été compromise, le nettoyage complet est à 350 € ; l'analyse des journaux et l'accompagnement RGPD, si des données ont fuité, font l'objet d'un devis. Le diagnostic est gratuit : 04 82 53 39 32 ou lois.armand@hinsight.org.
Sources
- Drupal, avis de sécurité SA-CONTRIB-2026-254, Commerce Core, 28 octobre 2026
- CNIL, notifier une violation de données personnelles