Drupal Commerce-lek actief misbruikt: patch vandaag

Het securityteam van Drupal waarschuwt voor een kwetsbaarheid in Commerce Core, de module waarmee webshops op Drupal worden gebouwd. De advisory heeft de hoogste classificatie die Drupal uitdeelt, highly critical, en meldt dat het lek op dit moment wordt misbruikt.

Wat er misgaat

De kwetsbaarheid staat als SA-CONTRIB-2026-254 op drupal.org en kreeg kenmerk CVE-2026-118539. De beschrijving van het securityteam is kort:

De module beschermt bepaalde routes en entiteitsvelden onvoldoende, wat leidt tot een access bypass die financiële gevolgen voor de verkoper kan hebben. Deze kwetsbaarheid wordt actief misbruikt in het wild.

In het CVE-record, dat Drupal zelf als CNA publiceerde, staat het als CWE-862 (Missing Authorization) met aanvalspatroon CAPEC-87 (Forceful Browsing). Dat betekent in de praktijk: er zijn URL's en velden die zonder de juiste rechtencontrole bereikbaar zijn. In de risicoscore die Drupal gebruikt staat dat er geen authenticatie nodig is en dat alle sites met de module in de gevarenzone zitten. BleepingComputer meldt op basis van dezelfde advisory dat het lek door niet-ingelogde aanvallers te misbruiken is, en dat Commerce Core op ruim 42.000 websites draait.

Hoe de aanval er precies uitziet, maakt Drupal niet openbaar — gebruikelijk bij een lek dat al misbruikt wordt.

Welke versies

De advisory werd op 28 oktober gepubliceerd; het CVE-record volgde op 30 oktober. Getroffen zijn alle versies tot 2.41 en alle 3.x-versies tot 3.3.13:

• Draai je 3.x, werk dan bij naar Commerce Core 3.3.13
• Draai je een oudere versie, werk dan bij naar Commerce Core 8.x-2.41

Er is geen tijdelijke maatregel beschreven. Wie composer gebruikt, komt er met een update van drupal/commerce naar die versie; controleer na de update met composer show drupal/commerce welke versie er daadwerkelijk staat, want een versieconstraint in composer.json kan de upgrade tegenhouden.

Wat je nu kunt doen

Naast bijwerken geeft Drupal een tweede opdracht, en die wordt makkelijk overgeslagen:

Sites moeten hun orders nalopen op inconsistenties, omdat deze kwetsbaarheid actief wordt misbruikt.

Dat is logisch gezien de aard van het lek. Een access bypass op orderroutes en entiteitsvelden betekent dat iemand mogelijk al orders, prijzen of statussen heeft kunnen aanpassen voordat jij patchte. Patchen stopt de aanval, maar draait niet terug wat er al gebeurd is. Loop dus orders na van de periode vóór de update, met extra aandacht voor bedragen en orderstatussen die niet bij de betaling passen.

Niet de enige Commerce-advisory

Commerce Core kwam op 28 oktober niet alleen in het nieuws. In dezelfde ronde publiceerde het Drupal-securityteam nog vijf advisory's voor Commerce Core zelf: twee informatielekken, een cross-site request forgery en twee lichtere access bypasses. Daarnaast kwamen er advisory's voor Commerce License, Commerce Shipping en Commerce Stripe. Bij Commerce Stripe gaat het om drie meldingen, waarvan één als critical is geclassificeerd.

Beheer je een Drupal-webshop, dan is het dus geen kwestie van één module bijwerken. Loop de volledige lijst op drupal.org/security/contrib langs voor de modules die jij in gebruik hebt. SA-CONTRIB-2026-254 is daarbij de enige met de melding dat er al wordt aangevallen, en verdient dus voorrang.