Drupal Commerce-kwetsbaarheid wordt actief misbruikt: controleer webshopbestellingen
Een ernstige Drupal Commerce kwetsbaarheid wordt actief misbruikt door aanvallers. Het Drupal Security Team heeft op 28 oktober 2026 CVE-2026-118539 gepubliceerd en de kwetsbaarheid beoordeeld als Highly Critical, met een risicoscore van 21 op 25. Door onvoldoende toegangscontroles kunnen aanvallers bepaalde functies en gegevens van Drupal Commerce benaderen zonder de vereiste rechten. Dit kan financiële gevolgen hebben voor webwinkels. Vservs adviseert beheerders onmiddellijk de beschikbare beveiligingsupdates te installeren en bestaande bestellingen op afwijkingen te controleren.
Drupal Commerce is een veelgebruikt e-commerceframework voor het Drupal Content Management System.
Het platform ondersteunt onder andere productbeheer, winkelwagens, bestellingen, betalingen en integraties met externe applicaties.
De kwetsbaarheid bevindt zich in de Commerce Core-module en kan ook webshops treffen die gebruikmaken van API-koppelingen.
Wat is de Drupal Commerce kwetsbaarheid?
De Drupal Commerce kwetsbaarheid CVE-2026-118539 ontstaat doordat bepaalde routes en entityvelden onvoldoende worden beschermd door toegangscontroles.
Hierdoor kunnen gebruikers of externe partijen onder bepaalde omstandigheden toegang krijgen tot functionaliteit waarvoor zij normaal gesproken onvoldoende rechten hebben.
Het Drupal Security Team waarschuwt dat deze toegangscontrolefout financiële gevolgen kan hebben voor de eigenaar van een webwinkel.
De officiële beveiligingsmelding beschrijft niet alle technische details van de aanval.
Daarom kan niet zonder aanvullend onderzoek worden vastgesteld welke specifieke bestellingen, bedragen of gegevens bij een individuele webshop zijn beïnvloed.
Actieve exploitatie officieel bevestigd
Het Drupal Security Team bevestigt dat CVE-2026-118539 actief wordt misbruikt.
Dit betekent dat er voldoende bewijs bestaat van daadwerkelijke aanvallen op kwetsbare implementaties.
De leverancier adviseert uitdrukkelijk om bestellingen te controleren op inconsistenties.
Een beschikbare beveiligingsupdate voorkomt nieuwe aanvallen via de verholpen kwetsbaarheid, maar herstelt niet automatisch eventuele ongeautoriseerde wijzigingen die eerder zijn aangebracht.
Daarom is alleen het installeren van de update onvoldoende wanneer een webshop mogelijk al is getroffen.
Welke Drupal Commerce-versies zijn kwetsbaar?
Volgens de officiële beveiligingsmelding zijn de volgende versies getroffen:
- Drupal Commerce 2.x: versies ouder dan 2.41.
- Drupal Commerce 3.x: versies vanaf 3.0.0 tot, maar niet inclusief, 3.3.13.
De eerste gecorrigeerde versies zijn:
- Drupal Commerce 2.x: 8.x-2.41.
- Drupal Commerce 3.x: 3.3.13.
Beide beveiligingsupdates zijn op 28 oktober 2026 uitgebracht.
Commerce Core verhelpt meerdere beveiligingsproblemen
Naast de actief misbruikte kwetsbaarheid bevatten de beveiligingsupdates nog vijf andere correcties.
De volgende CVE-nummers zijn in de beveiligingsrelease opgenomen:
- CVE-2026-118539: onvoldoende toegangscontrole met mogelijke financiële gevolgen. Actieve exploitatie bevestigd.
- CVE-2026-118540: mogelijke openbaarmaking van ongepubliceerde productvariaties via JSON:API. Commerce 3.3.x is voor deze specifieke kwetsbaarheid niet getroffen.
- CVE-2026-118541: onvoldoende toegangscontrole op de relatie tussen promoties en kortingscodes wanneer schrijfbewerkingen via JSON:API of REST zijn toegestaan.
- CVE-2026-118542: onvoldoende controle bij het wijzigen van winkels, waardoor gebruikers met bepaalde beheerrechten hun winkel als standaardwinkel kunnen aanwijzen en onbedoeld bestellingen kunnen ontvangen.
- CVE-2026-118543: Cross-Site Request Forgery waardoor beveiligingsmeldingen in de Commerce-beheeromgeving kunnen worden verborgen.
- CVE-2026-118544: mogelijke informatielekken over ongepubliceerde productvariaties via JSON:API.
Niet iedere kwetsbaarheid is onder dezelfde omstandigheden exploiteerbaar.
De gevolgen hangen onder andere af van ingeschakelde API-modules, toegewezen gebruikersrechten en de configuratie van de webshop.
Controleer webshopbestellingen op afwijkingen
Omdat actieve exploitatie is bevestigd, adviseert Vservs een gerichte controle van recente webshopactiviteiten.
Controleer onder andere:
- Bestellingen met onverwachte totaalbedragen.
- Afwijkingen tussen orderbedragen en daadwerkelijk ontvangen betalingen.
- Onverklaarbare wijzigingen in orderregels of orderstatussen.
- Ongebruikelijke kortingsbedragen en promoties.
- Bestellingen die niet overeenkomen met gegevens van de betaalprovider.
- Onverwachte wijzigingen aan winkel- of betaalinstellingen.
- Verdachte toegang tot API-endpoints.
- Ongebruikelijke activiteiten van gebruikersaccounts.
Dit zijn algemene onderzoekscontroles en geen exclusieve indicatoren voor CVE-2026-118539.
Een afwijking bewijst niet automatisch dat de kwetsbaarheid is misbruikt.
Hoe controleert u de geïnstalleerde versie?
Bij Drupal-installaties die met Composer worden beheerd, kan de geïnstalleerde Commerce Core-versie worden gecontroleerd met:
composer show drupal/commerceControleer vervolgens of de versie overeenkomt met de gecorrigeerde release binnen de gebruikte hoofdversie.
Voer wijzigingen bij bedrijfskritische webshops bij voorkeur eerst uit in een testomgeving.
Maak vooraf een actuele back-up van de bestanden en database.
Welke beveiligingsmaatregelen zijn noodzakelijk?
- Installeer Drupal Commerce 3.3.13 of 8.x-2.41, afhankelijk van de gebruikte hoofdversie.
- Controleer of Composer de beveiligingsupdate daadwerkelijk heeft geïnstalleerd.
- Controleer de webshop na de update op correcte werking van winkelwagen, checkout en betalingen.
- Vergelijk recente bestellingen met transacties van de betaalprovider.
- Controleer gebruikersrechten en API-toegang.
- Onderzoek verdachte wijzigingen in bestellingen en winkelconfiguraties.
- Bewaar relevante toegangslogs en auditgegevens wanneer misbruik wordt vermoed.
Controleer daarnaast of de geïnstalleerde Drupal Core-versie en andere uitbreidingen actuele beveiligingsupdates hebben ontvangen.
Wat als de webshop mogelijk is gecompromitteerd?
Bij vermoedens van misbruik is het belangrijk relevante logbestanden en andere bewijsmiddelen veilig te stellen.
Onderzoek vervolgens welke bestellingen en gegevens mogelijk zijn beïnvloed.
Controleer daarbij de samenhang tussen webshopbestellingen, betalingsregistraties en externe administratieve systemen.
Wanneer ongeautoriseerde toegang is vastgesteld, moeten ook gebruikersaccounts, API-sleutels en andere toegangsmogelijkheden worden onderzocht.
Verwijder geen mogelijke bewijsmiddelen voordat de relevante informatie is veiliggesteld.
Managed VPS Hosting bij Vservs
Vservs biedt professionele hostinginfrastructuur voor bedrijven, organisaties en webshops.
Met onze Managed VPS Hosting verzorgen wij het beheer, de monitoring en het onderhoud van de onderliggende serveromgeving.
Applicatieonderhoud, zoals het bijwerken van Drupal Core en Commerce-uitbreidingen, moet eveneens structureel worden uitgevoerd. De verantwoordelijkheid hiervoor is afhankelijk van de overeengekomen dienstverlening.
Volg voor actuele beveiligingsmeldingen onze Vservs Security & Beveiligingsupdates.
Conclusie
De Drupal Commerce kwetsbaarheid CVE-2026-118539 vormt een ernstig risico voor webwinkels die gebruikmaken van kwetsbare Commerce Core-versies.
Het Drupal Security Team heeft actieve exploitatie bevestigd.
Vservs adviseert daarom om onmiddellijk te updaten naar Commerce Core 3.3.13 of 8.x-2.41 en recente bestellingen zorgvuldig te controleren op afwijkingen.