Drupal Commerce Core: kritische Autorisierungslücke wird aktiv ausgenutzt
Angreifer nutzen eine Lücke in Drupal Commerce Core (CVE-2026-118539) bereits aus, ohne Anmeldung. Gefixt ist sie in 3.3.13 und 8.x-2.41. Wer einen Shop betreibt, sollte updaten und die Bestellungen prüfen.
Das Drupal-Sicherheitsteam hat am 28. Oktober 2026 eine Warnung zu Commerce Core veröffentlicht. Das Modul liefert die Shop-Funktion für Drupal-Seiten. Die Lücke hat die Kennung CVE-2026-118539 und wird nach Angaben von Drupal schon „in freier Wildbahn“ ausgenutzt. Die Einstufung lautet „highly critical“.
Was passiert ist
Laut dem Advisory SA-CONTRIB-2026-254 schützt das Modul „bestimmte Routen und Entity-Felder nicht ausreichend“. Routen sind die Adressen, unter denen Drupal Funktionen anbietet. Entity-Felder sind die Datenfelder von Objekten wie Bestellungen oder Produkten. Es geht um eine fehlende Autorisierung: Das System prüft nicht richtig, ob jemand eine bestimmte Aktion überhaupt ausführen darf. Die Folge ist ein sogenannter Access Bypass, also das Umgehen von Zugriffsbeschränkungen.
Laut BleepingComputer können Angreifer die Lücke ohne Anmeldung ausnutzen. Drupal schreibt nur, dass der Bypass dem Shopbetreiber „finanziell schaden kann“. Wie die Angriffe genau ablaufen und wie viele es gibt, sagt Drupal nicht. Das bestätigt auch The Hacker News.
Einen CVSS-Wert gibt es bisher nicht. CVSS ist die übliche Skala von 0 bis 10 für den Schweregrad einer Lücke. Drupal nutzt stattdessen ein eigenes Bewertungssystem und vergibt dort 21 von 25 Punkten. In diese Wertung fließt ein, dass die Lücke leicht auszunutzen ist, dass ein Exploit existiert (also ein Werkzeug, mit dem man sie ausnutzen kann) und dass sie alle Installationen betrifft.
Korrektur zu den Versionsangaben
In meinen Posts auf X und WhatsApp stand „betroffen: 0.0.0 bis 2.41 und 3.0.0 bis 3.3.13“. So haben es auch die Nachrichtenseiten formuliert. Das ist missverständlich. Im Advisory selbst steht „<2.41“ und „>=3.0.0 <3.3.13“. Betroffen sind also alle Versionen vor 2.41 und alle 3.x-Versionen vor 3.3.13. Genau diese beiden Versionen enthalten den Fix:
- 3.x-Zweig: Update auf Commerce Core 3.3.13
- Ältere Installationen: Update auf Commerce Core 8.x-2.41
Wer schon 3.3.13 oder 8.x-2.41 einsetzt, ist gegen diese Lücke geschützt.
Wer betroffen ist
Laut BleepingComputer läuft Commerce Core auf mehr als 42.000 Websites, darunter Seiten von Fortune-500-Konzernen und Forschungsuniversitäten. Betroffen sind alle Drupal-Seiten, auf denen das Modul installiert ist, egal ob ein großer Onlineshop oder eine kleine Vereinsseite mit Ticketverkauf. Drupal-Seiten ohne Commerce sind von dieser Lücke nicht betroffen.
Diese Warnung kommt nicht allein. Im Mai 2026 wurde eine SQL-Injection in Drupal Core (CVE-2026-9082) ausgenutzt, und die US-Behörde CISA hat sie in ihren Katalog bekannter ausgenutzter Lücken (KEV) aufgenommen. Etwa zwei Wochen vor dieser Warnung hat Drupal zwei Lücken zur Remote Code Execution geschlossen. Damit können Angreifer aus der Ferne eigenen Code auf dem Server ausführen.
Was du jetzt tun solltest
- Prüfen, ob Commerce im Einsatz ist. Das geht in der Modulübersicht von Drupal oder über die Abhängigkeiten deines Projekts in Composer.
- Version abgleichen. Liegt sie unter 3.3.13 (im 3.x-Zweig) oder unter 2.41 (im älteren Zweig), bist du betroffen.
- Sofort aktualisieren auf 3.3.13 bzw. 8.x-2.41. Weil die Lücke schon ausgenutzt wird, solltest du damit nicht bis zum nächsten Wartungsfenster warten.
- Bestellungen prüfen. Drupal rät ausdrücklich, die Bestellungen auf Unstimmigkeiten zu kontrollieren, zum Beispiel auf ungewöhnliche Preise, Rabatte, Status oder Zahlungsangaben. Ein Update schließt die Lücke, macht aber keine Manipulationen rückgängig, die schon passiert sind.
- Bei Agenturen und Hostern nachfragen. Wenn jemand anderes deinen Shop betreut, frag konkret nach, ob das Update installiert ist.
Ich halte vor allem Punkt 4 für wichtig. Bei einer Lücke, die laut Drupal finanziell schaden kann, reicht das Update allein nicht. Man muss auch prüfen, ob in der Zwischenzeit schon jemand etwas verändert hat.