Drupal heeft beheerders van webshops opgeroepen direct te patchen tegen een kritieke kwetsbaarheid in de Commerce Core-module, die volgens het project al actief wordt misbruikt. Het gaat om CVE-2026-118539, een geval van ontbrekende autorisatie waarmee een niet-geauthenticeerde aanvaller toegangscontroles kan omzeilen. Drupal noemt het lek “highly critical” en meldt expliciet: “This vulnerability is being actively exploited in the wild.” Een CVSS-score heeft Drupal niet gepubliceerd.
Commerce Core beschermt bepaalde routes en entity-velden onvoldoende, waardoor de toegangsbypass kan ontstaan. Omdat de module de winkelwagen, het afrekenproces en de API’s voor losstaande (decoupled) webshoptoepassingen regelt, kan misbruik direct financiële schade opleveren voor de eigenaar van de webshop. De module wordt gebruikt door meer dan 42.000 websites, waaronder grote bedrijven en universiteiten.
Getroffen zijn Commerce Core-versies 0.0.0 tot en met 2.41, en 3.0.0 tot en met 3.3.13. Beheerders op de 3.x-tak moeten upgraden naar versie 3.3.13, beheerders op een oudere tak naar 8.x-2.41. Drupal registreerde het lek onder de eigen advisory sa-contrib-2026-254 en meldt de ontdekkers Dan Puccetti, Marcus Johansson en Robert Snyder.
Het is niet de eerste keer dit jaar dat Drupal met een actief misbruikt lek te maken heeft. In mei waarschuwde het project al voor een actief misbruikte SQL-injectie (CVE-2026-9082) in de database-abstractielaag, die kon leiden tot rechtenverhoging, informatielekken en remote code execution, en die de Amerikaanse CISA aan de KEV-catalogus toevoegde. Twee weken geleden patchte Drupal nog twee kwetsbaarheden voor remote code execution. In totaal heeft CISA inmiddels vijf Drupal-kwetsbaarheden als actief misbruikt gemarkeerd, waarvan twee ook door ransomwaregroepen zijn ingezet.
Voor Nederlandse webshops op basis van Drupal Commerce is dit een update die niet kan wachten op het volgende onderhoudsmoment. Controleer de geïnstalleerde versie, installeer de patch en kijk bij twijfel direct bestellingen en klantgegevens na op onregelmatigheden, omdat de kwetsbaarheid al in het wild wordt gebruikt.
Bron: BleepingComputer en The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.