Drupal Commerce: Kritische Sicherheitslücke wird bereits ausgenutzt

Betreiber von Onlineshops auf Basis von Drupal Commerce sollten ihre Installation dringend überprüfen. In der Erweiterung Commerce Core wurde eine schwerwiegende Sicherheitslücke entdeckt, die bereits aktiv ausgenutzt wird. Angreifer können dadurch bestimmte Berechtigungsprüfungen umgehen und unter anderem Bestell- und Zahlungsinformationen manipulieren.

Die Schwachstelle trägt die Kennung CVE-2026-118539 und wurde vom Drupal-Sicherheitsteam als hochkritisch eingestuft. Sicherheitsupdates stehen bereits zur Verfügung.

Besonders problematisch ist, dass ein erfolgreicher Angriff unmittelbare finanzielle Folgen für Shop-Betreiber haben kann.

Was steckt hinter der Sicherheitslücke in Drupal Commerce?

Drupal Commerce ist eine Erweiterung des Content-Management-Systems Drupal, mit der sich vollständige Onlineshops betreiben lassen.

Die Software stellt unter anderem Warenkörbe, Bestellprozesse, Zahlungsfunktionen und verschiedene Schnittstellen für externe Anwendungen bereit.

Genau in diesem Bereich wurde nun eine kritische Schwachstelle entdeckt.

Unter der Kennung CVE-2026-118539 wird ein Fehler bei der Überprüfung von Zugriffsberechtigungen beschrieben.

Vereinfacht gesagt kontrolliert Commerce Core bei bestimmten Funktionen und Datenfeldern nicht ausreichend, ob ein Nutzer überhaupt die erforderlichen Rechte besitzt.

Angreifer können dadurch auf Funktionen zugreifen oder Informationen verändern, die normalerweise geschützt sein sollten.

Die Schwachstelle betrifft sowohl klassische Drupal-Commerce-Shops als auch sogenannte Headless-Installationen, bei denen beispielsweise eine separate Anwendung über eine API mit dem Shopsystem kommuniziert.

Das Drupal-Sicherheitsteam bewertet das Risiko mit 21 von 25 Punkten auf seiner eigenen Sicherheitsskala. Ein offizieller CVSS-Wert liegt bislang nicht vor.

Wichtig ist dabei: Es handelt sich um eine Schwachstelle in der Commerce-Core-Erweiterung und nicht um eine allgemeine Sicherheitslücke, die automatisch jede Drupal-Webseite betrifft.

Angriffe auf Onlineshops wurden bereits beobachtet

Besonders ernst wird die Situation dadurch, dass die Schwachstelle nicht nur theoretisch ausgenutzt werden kann.

Das Drupal-Sicherheitsteam bestätigt bereits entsprechende Angriffsaktivitäten.

Zusätzliche Informationen liefern die Entwickler von Drupal Commerce beim Unternehmen Centarro.

Ihnen liegen zwei Meldungen über Versuche vor, mithilfe der Schwachstelle betrügerische Bestellungen aufzugeben.

Die Berichte stammen von Shop-Betreibern, die verdächtige Vorgänge auf ihren tatsächlich betriebenen Webseiten festgestellt haben.

Nach Angaben der Entwickler gibt es bislang keine Hinweise darauf, dass die Schwachstelle bereits durch eine größere automatisierte Angriffskampagne ausgenutzt wurde.

Das ist zumindest eine etwas beruhigende Nachricht.

Allerdings sollte man daraus keine Entwarnung ableiten. Sobald eine Sicherheitslücke öffentlich bekannt wird, steigt grundsätzlich das Risiko, dass weitere Angreifer entsprechende Schwachstellen gezielt untersuchen.

Angreifer können Bestellungen und Preise manipulieren

Das eigentliche Problem ist weniger ein möglicher Ausfall des Shops, sondern die Manipulation geschäftlicher Vorgänge.

Durch die fehlerhaften Berechtigungsprüfungen können Angreifer unter bestimmten Voraussetzungen Bestellungen verändern oder reguläre Schritte im Bestellprozess umgehen.

Die Entwickler nennen mehrere mögliche Auswirkungen.

So könnten beispielsweise Bestellungen erzeugt werden, ohne dass tatsächlich eine Zahlung stattgefunden hat.

Auch manipulierte Produktpreise oder unberechtigte Rabatte sind denkbar.

Besonders kritisch wird es, wenn eine Bestellung innerhalb des Shops bereits als bezahlt erscheint, obwohl beim Zahlungsanbieter überhaupt kein entsprechender Zahlungseingang vorliegt.

In einem untersuchten Fall wurden sogar Bestellungen mit auffällig niedrigen Preisen festgestellt, teilweise im Bereich weniger Cent.

Für Shop-Betreiber kann das schnell teuer werden.

Schließlich verlassen sich viele Warenwirtschafts- und Versandprozesse auf den Status einer Bestellung.

Wenn ein System eine Bestellung fälschlicherweise als bezahlt behandelt und anschließend automatisch den Versand auslöst, kann daraus ein unmittelbarer finanzieller Schaden entstehen.

Genau deshalb sollte man die Schwachstelle nicht als gewöhnlichen technischen Fehler abtun.

Welche Drupal-Commerce-Versionen sind betroffen?

Die Sicherheitslücke betrifft verschiedene ältere Versionen von Commerce Core.

Das Drupal-Sicherheitsteam hat am 28. Oktober 2026 entsprechende Updates veröffentlicht.

Wichtig: Die Versionen 2.41 und 3.3.13 enthalten bereits die Korrektur.

Betreiber einer betroffenen Installation sollten deshalb möglichst zeitnah auf die passende Version aktualisieren.

Dabei ist zu beachten, dass sich die beiden Versionszweige an unterschiedliche Drupal-Umgebungen richten können.

Vor der Aktualisierung sollte deshalb geprüft werden, ob alle installierten Erweiterungen und Abhängigkeiten mit der vorgesehenen Commerce-Core-Version kompatibel sind.

Ein Backup der Datenbank und der relevanten Dateien gehört selbstverständlich ebenfalls dazu.

Sicherheitsupdate allein reicht möglicherweise nicht aus

Ein wichtiger Punkt wird bei solchen Sicherheitsmeldungen häufig unterschätzt.

Mit dem Einspielen eines Updates wird zwar die bekannte Schwachstelle geschlossen. Bereits manipulierte Bestellungen oder andere Veränderungen in der Datenbank verschwinden dadurch aber nicht automatisch.

Die Entwickler von Drupal Commerce empfehlen deshalb ausdrücklich, bestehende Bestellungen auf Auffälligkeiten zu überprüfen.

Besonders interessant sind dabei folgende Fälle:

• Bestellungen, die abgeschlossen wurden, obwohl keine entsprechende Zahlung vorhanden ist.

• Aufträge, die im Shopsystem als bezahlt gelten, für die aber kein passender Zahlungsvorgang existiert.

• Produkte, deren Bestellpreise ungewöhnlich stark vom regulären Verkaufspreis abweichen.

• Rabatte, Gebühren oder Preisanpassungen, die weder durch eine Aktion noch durch Mitarbeiter nachvollziehbar sind.

• Bestellungen, die offenbar außerhalb des vorgesehenen Checkout-Ablaufs erstellt wurden.

Solche Auffälligkeiten müssen nicht automatisch auf einen Angriff hindeuten.

Je nach Shopsystem können beispielsweise manuelle Bestellungen, Sonderpreise oder individuell konfigurierte Zahlungsabläufe durchaus legitim sein.

Entscheidend ist deshalb, verdächtige Vorgänge mit den tatsächlichen Zahlungsdaten und den vorgesehenen Geschäftsprozessen abzugleichen.

Auch JSON und zusätzliche Commerce-Module überprüfen

Die Sicherheitslücke betrifft nicht ausschließlich klassische Onlineshops mit einer gewöhnlichen Benutzeroberfläche.

Auch Systeme, die Drupal Commerce über externe Schnittstellen verwenden, können gefährdet sein.

Besonders relevant ist dabei die Drupal-Erweiterung JSON.

Sie ermöglicht externen Anwendungen, mit bestimmten Daten und Funktionen des Drupal-Systems zu arbeiten.

Wer solche Schnittstellen für seinen Shop verwendet, sollte die bestehenden Berechtigungen überprüfen.

Die Entwickler empfehlen außerdem, unnötige Schreibzugriffe über JSON zu deaktivieren, wenn diese für den Betrieb des Shops nicht benötigt werden.

Zusätzlich wurden Sicherheitsupdates für weitere Erweiterungen aus dem Drupal-Commerce-Umfeld veröffentlicht.

Dazu gehören Commerce API, Commerce License, Commerce Shipping und Commerce Stripe.

Betreiber sollten deshalb nicht ausschließlich Commerce Core aktualisieren, sondern auch prüfen, ob für die zusätzlich verwendeten Module Sicherheitsupdates bereitstehen.

Gerade bei umfangreicheren Shopsystemen hängen viele Funktionen voneinander ab. Deshalb ist es sinnvoll, die Aktualisierungen zunächst in einer Testumgebung zu prüfen.

Was sollten Drupal-Commerce-Administratoren jetzt tun?

Aus meiner Sicht ist die wichtigste Aufgabe zunächst eine saubere Bestandsaufnahme.

Wer Drupal Commerce einsetzt, sollte überprüfen, welcher Versionszweig verwendet wird und ob das bereitgestellte Sicherheitsupdate bereits installiert ist.

Anschließend sollten die Bestellungen der vergangenen Tage genauer betrachtet werden.

Besonders bei automatisierten Versand- und Zahlungsprozessen würde ich darauf achten, ob der angezeigte Zahlungsstatus tatsächlich mit den Buchungen des jeweiligen Zahlungsdienstleisters übereinstimmt.

Auch die Webserver- und Anwendungsprotokolle können bei der Untersuchung verdächtiger Bestellungen hilfreich sein.

Sollten Hinweise auf einen erfolgreichen Angriff vorliegen, reicht eine gewöhnliche Aktualisierung unter Umständen nicht aus.

Dann müssen die betroffenen Vorgänge genauer untersucht und gegebenenfalls weitere Sicherheitsmaßnahmen eingeleitet werden.

Die Entwickler empfehlen außerdem, Waren oder Dienstleistungen grundsätzlich erst dann auszuliefern, wenn die tatsächliche Zahlung unabhängig vom Bestellstatus bestätigt wurde.

Das klingt selbstverständlich, ist aber gerade bei automatisierten Shopsystemen ein wichtiger Punkt.

Sicherheitslücke ist unabhängig von PHP2Shell

Parallel zur Drupal-Commerce-Warnung sorgen aktuell auch zwei andere kritische Schwachstellen für Aufmerksamkeit.

Dabei handelt es sich um die sogenannten PHP2Shell-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619.

Auch diese werden bereits für Angriffe genutzt und können unter bestimmten Voraussetzungen die Ausführung von Schadcode ermöglichen.

Die beiden PHP-Schwachstellen stehen allerdings nicht in direktem Zusammenhang mit dem Berechtigungsfehler in Drupal Commerce.

Es handelt sich um unterschiedliche Sicherheitsprobleme, die unabhängig voneinander betrachtet und behoben werden müssen.

Für Administratoren zeigt sich damit erneut, wie wichtig eine konsequente Aktualisierung sämtlicher Komponenten einer Webanwendung ist.

Ein aktuelles Shopsystem allein reicht schließlich nicht aus, wenn darunter veraltete PHP-Versionen oder andere verwundbare Komponenten laufen.

Fazit: Drupal-Commerce-Shops sollten jetzt überprüft werden

Die Sicherheitslücke CVE-2026-118539 ist besonders unangenehm, weil sie direkt geschäftskritische Funktionen eines Onlineshops betrifft.

Während manche Schwachstellen hauptsächlich technische Auswirkungen haben, können hier manipulierte Preise, unberechtigte Bestellungen und fehlerhafte Zahlungsinformationen unmittelbar finanzielle Schäden verursachen.

Positiv ist, dass das Drupal-Sicherheitsteam und die Entwickler von Commerce Core bereits reagiert und entsprechende Updates veröffentlicht haben.

Dass bislang nur eine begrenzte Anzahl konkreter Angriffsversuche bekannt ist, sollte aber nicht zu falscher Sicherheit führen.

Ich würde als Shop-Betreiber deshalb nicht nur das Sicherheitsupdate installieren, sondern anschließend auch die letzten Bestellungen und Zahlungsabläufe kontrollieren.

Die wichtigste Maßnahme ist jetzt die Aktualisierung auf Commerce Core 3.3.13 beziehungsweise 8.x-2.41 und eine anschließende Überprüfung auffälliger Bestellungen.

Denn eine geschlossene Sicherheitslücke ist gut. Noch besser ist es, wenn man zusätzlich sicherstellen kann, dass sie zuvor nicht bereits ausgenutzt wurde.

Quellen

Drupal Security Advisory – 28. Oktober 2026
Commerce Core – Highly Critical – Access Bypass – SA-CONTRIB-2026-254
https://www.drupal.org/sa-contrib-2026-254

Centarro – 29. Oktober 2026
Update Drupal Commerce sites for an exploit observed in the wild – Informationen der Commerce-Entwickler zu den Angriffsversuchen und möglichen Bestellmanipulationen
https://www.centarro.io/blog/update-drupal-commerce-sites-exploit-observed-wild

The Hacker News – 30. Oktober 2026
Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw
https://thehackernews.com/2026/10/hackers-actively-exploit-highly.html

Drupal – Commerce Core 3.3.13
Sicherheitsupdate für den Versionszweig 3.x
https://www.drupal.org/project/commerce/releases/3.3.13

Drupal – Commerce Core 8.x-2.41
Sicherheitsupdate für den älteren Versionszweig
https://www.drupal.org/project/commerce/releases/8.x-2.41