Zum Inhalt springen
Centoculus

Sicherheitswarnung · Kritisch

Drupal Commerce Core unter aktiver Ausnutzung: Umgehung der Autorisierung (CVE-2026-118539)

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit · Angriffe bestätigt seit

Betroffen: Drupal Commerce Core bis 2.41 sowie 3.0.0 bis 3.3.13

Was passiert ist

Am 30. Oktober 2026 hat das Drupal-Sicherheitsteam die Warnmeldung SA-CONTRIB-2026-254 für Commerce Core veröffentlicht, das Zusatzmodul, auf dem die meisten Drupal-basierten Webshops aufbauen. Die Schwachstelle mit der Kennung CVE-2026-118539 ist eine fehlende Berechtigungsprüfung, die erzwungenes Browsing ermöglicht. Ein Angreifer kann Seiten oder Funktionen direkt über die URL aufrufen, die nur Benutzern mit den passenden Berechtigungen zugänglich sein sollten.

Die aktive Ausnutzung wurde am selben Tag bestätigt, an dem die Schwachstelle öffentlich bekannt wurde. Shops, die noch nicht aktualisiert haben, sind unmittelbar gefährdet.

Wer betroffen ist

Die Schwachstelle betrifft jede Drupal-Website, auf der Commerce Core in einer der folgenden Versionen installiert ist:

  • Commerce Core bis Version 2.41
  • Commerce Core von Version 3.0.0 bis 3.3.13

Drupal Core selbst wird nicht als betroffen genannt. Das Risiko geht vom Modul Commerce Core aus. Wenn Sie Drupal-Shops für Kunden betreiben, prüfen Sie jede Website einzeln, da sich die Modulversionen zwischen Installationen häufig unterscheiden.

Was Sie jetzt tun sollten

  1. Ermitteln Sie, welche Commerce-Core-Version auf jeder Website läuft, zum Beispiel mit composer show drupal/commerce oder drush pm:list | grep -i commerce.
  2. Sichern Sie die Datenbank und den Code, einschließlich composer.json und composer.lock.
  3. Suchen Sie die korrigierte Version für Ihren Zweig in der unten verlinkten Drupal-Warnmeldung SA-CONTRIB-2026-254. Die korrigierten Versionsnummern sind in unseren Quelldaten nicht enthalten. Verlassen Sie sich daher nicht auf eine geschätzte Version.
  4. Aktualisieren Sie das Modul, zum Beispiel mit composer update drupal/commerce --with-dependencies, und spielen Sie anschließend den aktualisierten Code auf.
  5. Führen Sie ausstehende Datenbankaktualisierungen aus und leeren Sie den Cache: drush updatedb und drush cache:rebuild.
  6. Testen Sie den Shop: Produktseiten, Warenkorb, Kasse, Zahlung sowie die Verwaltungsseiten für Bestellungen und Shops.
  7. Falls Sie nicht sofort aktualisieren können, sollten Sie den Shop bis zur Installation des Updates in den Wartungsmodus versetzen.

So prüfen Sie, ob Sie betroffen sind

  • Versionsprüfung: Jede Commerce-Core-Version bis 2.41 oder von 3.0.0 bis 3.3.13 ist verwundbar.
  • Zugriffsprotokolle: Prüfen Sie die Zugriffsprotokolle des Webservers seit dem Zeitraum vor dem 30. Oktober 2026. Achten Sie auf Anfragen an Commerce-bezogene Verwaltungs- oder Bestellrouten, die von anonymen Besuchern oder von Konten stammen, die keinen Zugriff darauf haben sollten.
  • Drupal-Protokolle: Prüfen Sie die aktuellen Protokollmeldungen (/admin/reports/dblog oder drush watchdog:show) auf ungewöhnliche Aktivitäten.
  • Shop-Daten: Suchen Sie nach Bestellungen, Preisen, Produkten, Shop-Einstellungen oder Zahlungskonfigurationen, die sich ohne erkennbaren Grund geändert haben. Prüfen Sie außerdem Benutzerkonten oder Rollenänderungen, die niemand in Ihrem Team vorgenommen hat.
  • Bei Hinweisen auf Missbrauch: Sichern Sie die Protokolle, erneuern Sie Administrator- und API-Zugangsdaten und informieren Sie den Shop-Inhaber. Je nach betroffenen Daten können Meldepflichten nach dem Datenschutzrecht gelten.

Quellen

Weitere Quellen (3)

Wenn du CMS oder Shopsysteme betreibst, prüf auch

Weitere Beiträge