Sicherheitswarnungen · 28. Oktober 2026
Drupal Commerce: Fremde verändern Preise und Bestellungen in Online-Shops
Im Shop-Modul Commerce Core für Drupal fehlen bei einigen Funktionen die Zugriffsprüfungen. Ohne Anmeldung lassen sich Bestellungen und Preise manipulieren. Die Lücke wird bereits ausgenutzt.
Worum es geht
Drupal Commerce Core
Commerce Core ist die Grundlage für Online-Shops auf Basis des Content-Management-Systems Drupal. Bestimmte Adressen und Datenfelder des Moduls prüfen nicht ausreichend, wer darauf zugreifen darf. Ein Besucher ohne Konto kann dadurch Daten einsehen und verändern, die eigentlich nur dem Shop-Betreiber zustehen.
Laut dem Entwicklerteam lassen sich damit etwa Bestellungen ohne Bezahlung aufgeben, Bestellungen als bezahlt erscheinen lassen, Preise vor dem Bezahlen ändern oder Rabatte und Gebühren hinzufügen. Für den Händler kann das direkt Geld kosten, wenn solche Bestellungen ausgeliefert werden.
Drupal stuft die Lücke mit 21 von 25 Punkten als höchst kritisch ein und bestätigt Angriffe. Die Updates sind seit 28. Oktober verfügbar. Weltweit nutzen rund 30.000 Shops eine betroffene Version. Shops auf Drupal 7 sind von dieser Meldung nicht erfasst, erhalten aber seit Anfang 2025 ohnehin keine Sicherheitsupdates mehr.
Betroffen
- Commerce Core 3.x vor 3.3.13
- Commerce Core 8.x-2.x vor 8.x-2.41
- Ergänzende Module Commerce API, License, Shipping und Stripe vor ihren Sicherheitsupdates vom 28. Oktober 2026
Behoben
- Commerce Core 3.3.13 bzw. 8.x-2.41 sowie die aktuellen Versionen der ergänzenden Module
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Beim Shop-Betreuer klären, ob der Shop auf Drupal mit Commerce Core läuft und welche Version im Einsatz ist.
- 02
Commerce Core auf 3.3.13 bzw. 8.x-2.41 aktualisieren und dabei Commerce API, License, Shipping und Stripe gleich mit auf den neuesten Stand bringen.
- 03
Wird die JSON:API-Schnittstelle nicht zum Schreiben benötigt, diese auf reinen Lesezugriff stellen.
- 04
Die Bestellungen seit Mitte Oktober auf unbezahlte oder auffällig billige Bestellungen sowie unerklärliche Rabatte und Gebühren prüfen.
- 05
Bis zur Prüfung nur Bestellungen ausliefern, deren Zahlung tatsächlich am Konto oder beim Zahlungsanbieter eingegangen ist.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 28. Oktober 2026. Grundlage: The Hacker News · ITdaily · Rescana. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu