Drupal vraagt online winkeleigenaren om Drupal Commerce Core direct te patchen. De reden: een kritieke access bypass (CVE-2026-118539) wordt volgens Drupal actief misbruikt in het wild. Daardoor kunnen kwaadwillenden mogelijk toegang krijgen tot delen van je e-commerceflow die normaal afgeschermd horen te zijn.
Het probleem zit in een contributed module die e-commercefunctionaliteit toevoegt aan Drupal-sites, zoals een winkelwagen en checkout. Drupal geeft aan dat de module op meer dan 42.000 sites wordt gebruikt, wat de impact van dit soort kwetsbaarheid extra groot maakt.
Wat is de kwetsbaarheid in Drupal Commerce Core?
De kern van het issue is dat de module bepaalde routes en entity fields onvoldoende beschermt. Concreet kan dit leiden tot een access bypass: aanvallers kunnen beperkingen omzeilen en zo financiële of operationele schade veroorzaken bij de verkoper.
Drupal heeft de ernst beoordeeld met een score van 21 op 25. Volgens die beoordeling kunnen ongeauthentiseerde aanvallers het probleem misbruiken ongeacht hoe de module is ingesteld.
Welke versies zijn kwetsbaar en wat is de oplossing?
Volgens de Drupal advisory raakt de kwetsbaarheid 3.x-versies vóór 3.3.13 en ook eerdere releases vóór 8.x-2.41. De oplossing is om te updaten naar één van de twee gefixte versies die Drupal publiceerde.
Verder adviseert Drupal beheerders om de winkelomgeving niet alleen technisch te herstellen, maar ook commercieel te controleren. Dat betekent: bekijken of er inconsistenties in bestellingen zijn opgetreden.
Wordt de aanval echt gebruikt?
Ja. Drupal bevestigt dat er aanvallen in het wild plaatsvinden. Tegelijkertijd deelt Drupal geen details over:
- hoe de exploit precies wordt uitgevoerd,
- wie verantwoordelijk is,
- of het om een zero-day ging (misbruik voordat patches beschikbaar waren),
- en hoeveel sites precies zijn geraakt.
Die combinatie maakt het risico extra lastig te managen: je moet ervan uitgaan dat de dreiging al actief is en daarom snel handelen prioriteit moet krijgen.
Waarom “bestellingen auditen” zo belangrijk is
Drupal benadrukt dat de kwetsbaarheid actief wordt uitgebuit en koppelt daaraan een praktische onderhoudsactie: audit je orders. In de praktijk komt dat neer op het vergelijken van verwachte en werkelijke statussen in je e-commerceproces.
Let daarbij vooral op signalen zoals afwijkende orderstatussen, onlogische transactieflows of bestellingen die lijken te zijn beïnvloed zonder dat daar een legitiem betaal- of autorisatieproces tegenover staat.
Zo’n controle is niet alleen “nice to have”. Zeker omdat de bug een access bypass betreft, kan de impact zich niet beperken tot toegang tot pagina’s—het kan ook doorwerken in hoe een order wordt verwerkt.
Andere Drupal fixes op dezelfde datum
Drupal publiceerde daarnaast een reeks security-advisories. Op 28 oktober ging het om advisories voor 21 contributed projecten. Daarbij waren bijna een dozijn issues geclassificeerd als kritiek, waaronder kwetsbaarheden die kunnen leiden tot remote code execution, account takeover, en situaties waarin Commerce orders via Stripe als betaald gemarkeerd kunnen worden zonder correcte betaling.
Ook het CAPTCHA-module kreeg een fix voor een matig kritieke kwetsbaarheid. Daarbij gaat het om een situatie waarin een beveiligd formulier opnieuw ingediend kan worden zonder dat de nieuwe CAPTCHA-uitdaging opnieuw wordt opgelost. Drupal geeft aan dat exploitcode hiervoor aanwezig kan zijn, al benoemt de advisory geen actieve misbruikgevallen.
Daarnaast wijzen Drupal’s ratings op proof-of-concept voor informatieonthulling in twee onderdelen: Commerce Core zelf en Media Alias Display.
Context: eerder gecommuniceerde Drupal kritieke issues
Naast deze set van meldingen noemde Drupal ook fixes voor kritieke remote code execution-kwetsbaarheden die op 14 oktober zijn aangekondigd:
- CVE-2026-108097 in Field UI
- CVE-2026-108099 in Entity List
Drupal waarschuwde toen dat sommige componenten de kwetsbaarheid niet op zichzelf blootleggen, maar dat een combinatie met andere contributed modules of maatwerkcode exploitatie toch mogelijk kan maken—soms zelfs zonder authenticatie.
Voor veel organisaties is dit een herkenbaar patroon in webapplicaties: de grootste risico’s ontstaan niet door één los component, maar door de totale configuratie en de manier waarop plugins en aangepaste code samenkomen.
Wat je nu kunt doen (praktisch stappenplan)
Als je Drupal beheert met de betrokken e-commercefunctionaliteit, is dit een logische volgorde om snel risico te beperken:
- Werk Drupal Commerce Core bij naar een van de door Drupal gefixte versies. Neem die stap als eerste in je change window.
- Controleer je bestellingen op inconsistenties, zoals afwijkende statusovergangen of ongebruikelijke ordergedragingen.
- Review gerelateerde modules: als je ook andere Commerce-adjacent modules of maatwerk hebt, beoordeel dan of die samenhang kunnen geven met toegang en orderverwerking.
- Monitor verkeer en logs tijdens en na de update, zodat je misbruiksporen sneller herkent.
Wil je breder kijken naar hoe je dit soort incidenten rond webshops en supply chain-achtige risico’s benadert? Lees dan ook Drupal Commerce Core: actief misbruik van autorisatie-lek voor eerdere context en aandachtspunten.
SEO-tip voor je security-roadmap: voorkom “patch-achterstand”
Een kwetsbaarheid die “in het wild” wordt uitgebuit vraagt om een andere aanpak dan issues die alleen theoretisch risico vormen. Drupal Commerce Core is daar een voorbeeld van: de kans dat gecompromitteerde pagina’s al worden geprobeerd is reëel.
Daarom helpt het om updates voor e-commercecomponenten standaard op te nemen in je securityprocessen: niet alleen patchen, maar ook aantoonbaar verifiëren dat de update is doorgevoerd en dat je bestellogica nog klopt.
Conclusie
Drupal Commerce Core staat onder druk door CVE-2026-118539: een kritieke access bypass die volgens Drupal daadwerkelijk wordt misbruikt. Update naar de gefixte versies en neem bovendien Drupal’s advies serieus door je winkelorders te auditen op inconsistenties.
Wie nu wacht, vergroot de kans dat aanvallers je e-commerceflow blijven proberen—en dat is precies wat je met deze updategolf wilt voorkomen.
Gerelateerd: Wil je zien hoe misbruik van kwetsbaarheden buiten Drupal ook vaak gekoppeld is aan keteneffecten en tijdige patching? Bekijk dan Supply chain aanval bij Polymarket: $2 miljoen en hoe aanvallers via onverwachte routes schade proberen te maximaliseren.
Bron: https://www.securityweek.com/drupal-commerce-core-vulnerability-exploited-against-online-stores/
