Faille Drupal Commerce : des commandes « payées » sans que l’argent entre
Une commande arrive sur votre boutique en ligne. Elle est marquée « payée », le bon de préparation sort, l’équipe emballe et expédie. Sauf que l’argent n’est jamais entré. Ou encore : le client a payé 0,01 $ pour un produit qui en vaut des centaines.
C’est le genre de fraude qu’a rendu possible une faille de Drupal Commerce, le module de commerce en ligne de Drupal. L’équipe de sécurité de Drupal l’a classée « hautement critique » le 28 octobre 2026 et confirme qu’elle est exploitée. Voici qui est touché, quoi mettre à jour et surtout quelles commandes vérifier.
Faille Drupal Commerce : l’essentiel
🛒
Le module touché
Commerce Core, le panier et la caisse de Drupal Commerce. Ce n’est pas le cœur de Drupal lui-même.
🔓
Le problème
Certaines routes et certains champs ne sont pas assez protégés (CVE-2026-118539). Selon l’avis de Drupal, aucune connexion n’est nécessaire.
💸
L’impact
Des commandes peuvent être passées sans paiement, marquées payées à tort ou avec un prix modifié.
✅
Le correctif
Commerce Core 3.3.13 (branche 3.x) ou 8.x-2.41 (branches plus anciennes), publiés le 28 octobre 2026.
Centarro, l’entreprise qui maintient Drupal Commerce, dit avoir reçu deux signalements de marchands qui ont vu des tentatives de commandes frauduleuses sur leurs sites en production. Elle ne croit pas, à ce jour, que l’exploitation ait été automatisée ou étendue au-delà de ces sites. Mais comme ce sont des marchands, et non des chercheurs, qui ont repéré le problème, elle recommande à tous les utilisateurs de vérifier leurs commandes récentes.
Selon Centarro, le problème existait depuis la version 8.x-2.18 (mai 2020) sur les sites qui utilisent JSON:API, et depuis 8.x-2.25 (juin 2021) pour les autres. Les boutiques classiques et les boutiques « headless » (découplées) sont toutes deux touchées.
Les 4 types de commandes à vérifier
Passée, non payée 1
Commande passée sans paiement en attente ou autorisé
Statut : passée · Solde dû
🤖 Le paiement a pu être contourné à la caisse. À vérifier si vous ne vendez rien de gratuit.
Payée sans paiement 1
Marquée payée, mais aucun paiement enregistré
Surtout si JSON:API permet l’écriture
🤖 Le paiement a pu être simulé sans argent réel.
Prix anormal 1
Prix unitaire modifié, par ex. 0,01 $
Aucune promotion ne l’explique
🤖 Le prix a pu être changé avant la caisse.
Rabais inexpliqué 1
Rabais, frais ou ajustement ajouté
Personne de l’équipe ne l’a ajouté
🤖 Un champ d’ajustement a pu être modifié.
Attention : selon The DropTimes, certaines commandes frauduleuses avaient un prix tout à fait normal. Le total seul ne suffit pas. Centarro a publié quatre requêtes SQL pour repérer ces cas, et recommande de comparer l’heure et l’adresse IP des commandes suspectes avec les journaux d’accès du site. Ces requêtes peuvent aussi ressortir des commandes légitimes, comme celles créées par votre équipe.
Le plan d’action pour votre boutique
Dans l’ordre
Aujourd’hui
Mettre à jour Commerce Core
Version 3.3.13 ou 8.x-2.41, après une sauvegarde complète du site et de la base de données.
Aujourd’hui
Mettre à jour les modules liés
Centarro a publié le même jour des mises à jour de sécurité pour Commerce API, Commerce License, Commerce Shipping et Commerce Stripe, si vous les utilisez.
Cette semaine
Limiter JSON:API
Si votre site n’a pas besoin d’écrire des données par JSON:API, passez-le en lecture seule.
Cette semaine
Auditer les commandes
Les quatre types ci-dessus, en remontant aussi loin que possible, puis comparer avec vos paiements reçus chez le processeur de paiement.
Ensuite
Décider pour chaque commande suspecte
Bloquer l’expédition, annuler ou contacter le client, et documenter ce qui a été trouvé.
Votre boutique tourne sur une autre plateforme? Le même réflexe s’applique : nous avons vu le cas de Magento avec la faille Blockstrap. Le plus important reste de rapprocher régulièrement les commandes marquées payées avec l’argent réellement reçu.
Comment NeoTech peut vous aider
Nos services de cybersécurité couvrent les mises à jour de votre site, la vérification des modules installés et l’aide à l’audit des commandes suspectes. Notre surveillance automatisée 24/7 avec intervention du technicien de garde peut s’ajouter aux serveurs que nous gérons.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble votre boutique en ligne, ses modules et la façon de repérer une commande qui n’a jamais été payée.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Drupal Security Team — Commerce Core, Highly critical, Access bypass, SA-CONTRIB-2026-254, 28 octobre 2026 (en anglais)
- Centarro — Update Drupal Commerce sites for an exploit observed in the wild (en anglais)
- BleepingComputer — Drupal warns of critical Commerce Core flaw exploited in attacks, 30 octobre 2026 (en anglais)
- The DropTimes — Centarro Publishes Order-Audit Checks After Drupal Commerce Exploit Reports (en anglais)
Photo : Cup of Couple, Pexels (licence Pexels).