Des pirates exploit activement une faille critique de contournement d'autorisation dans Drupal Commerce Core — Cybersécurité

Drupal a émis un avertissement concernant l'exploitation active d'une faille de sécurité extrêmement critique dans son module Commerce Core, identifiée sous le numéro CVE-2026-118539. Cette vulnérabilité permet aux attaquants de contourner les contrôles d'autorisation sur des routes et des champs d'entités spécifiques, ce qui pourrait causer des préjudices financiers aux vendeurs utilisant les versions affectées.

Drupal a alerté la communauté du fait que des acteurs malveillants exploitent activement une vulnérabilité de sécurité extrêmement critique au sein de son composant Commerce Core. Cette faille, suivie sous le numéro CVE-2026-118539, résulte de contrôles d'autorisation manquants et affecte les versions de Commerce Core allant de 0.0.0 à 2.41, ainsi que les versions 3.0.0 à 3.3.13. Selon un avis émis par Drupal, le module facilite la vente de biens et de services via des paniers d'achat, des formulaires de paiement ou des applications découplées par le biais d'API.

Le problème de sécurité survient car le module ne protège pas suffisamment certaines routes et certains champs d'entités, créant un contournement d'accès qui pourrait avoir un impact financier sur les vendeurs. Bien que le framework de gestion de contenu open source ait confirmé que la vulnérabilité est activement exploitée dans la nature, il n'a fourni aucun détail spécifique concernant la nature des attaques ou l'ampleur de la campagne.

Pour atténuer ce risque, les utilisateurs sont vivement encouragés à mettre à jour leurs systèmes immédiatement. Ceux qui exécutent la version 3.x doivent passer à Commerce Core 3.3.13, tandis que les utilisateurs des versions antérieures doivent mettre à niveau vers Commerce Core 8.x-2.41. Drupal a crédité les chercheurs Dan Puccetti, Marcus Johansson et Robert Snyder pour avoir signalé la faille.

Cet incident se produit parallèlement à des tentatives d'exploitation active ciblant deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619, collectivement connues sous le nom de PHP2Shell. Les données de Wiz, une entreprise appartenant à Google, indiquent qu'au 25 octobre, le pourcentage d'organisations significativement affectées par PHP2Shell a chuté à 52,1 %. Les chercheurs de Wiz, Yaara Shriki, Shahar Dorfman, Alma Blachsan et Yaron Samuel, ont noté deux types d'activités : des tentatives correspondant aux exploits publics de preuve de concept et l'utilisation d'outils portant la marque PHP2Shell reposant sur l'empoisonnement de session et une vulnérabilité distincte d'inclusion de fichier local. Les chercheurs ont observé que le déclenchement seul de l'épuisement de la mémoire est souvent insuffisant pour compléter la chaîne d'exploitation en raison des variations dans les builds PHP et des limites de mémoire, ce qui présente des défis pour les attaquants opportunistes tentant d'opérationnaliser des preuves de concept publiques.

Sources: The Hacker News.