重要ポイント
- Drupal Commerce Core に認可の欠如(CVE-2026-118539)。認証なしでアクセス制御を回避できる
- 悪用が確認済み。Drupal は「実際の攻撃で悪用されている」と公表(危険度は最上位の highly critical)
- 修正版: 3.x 系は Commerce Core 3.3.13、それ以前の系統は 8.x-2.41
- 公開日: 2026年10月30日(SA-CONTRIB-2026-254)
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| Drupal Commerce Core(3.x 系) | 3.0.0 以降、3.3.13 より前(公式の表記は「3.0.0〜3.3.13」) | 3.3.13 |
| Drupal Commerce Core(2.x 系) | 2.41 より前(公式の表記は「〜2.41」) | 8.x-2.41 |
対処: 上の修正版へ直ちに更新します。Composer で入れている場合は composer update drupal/commerce を実行し、更新後にデータベース更新とキャッシュ削除を行ってください。公式は回避策を示していません。
確認: composer show drupal/commerce または管理画面の「レポート → 利用可能なアップデート」で版を確認します。
概要
Drupal のセキュリティチームは2026年10月30日、EC サイト構築用モジュール Commerce Core の認可の欠如(CVE-2026-118539)を公表しました。一部のルートとエンティティのフィールドの保護が不十分で、認証されていない攻撃者がアクセス制御を回避できます。Drupal はすでに実際の攻撃で悪用されていると明記しています。Commerce を使う EC サイトの運営者は、直ちに修正版へ更新してください。
影響と対処
影響を受けるもの
Drupal の Commerce Core モジュールを使うサイトが対象です。Drupal 本体だけで Commerce を使っていないサイトは、この問題の対象ではありません。
どんな問題か
認可の欠如(missing authorization)に分類される問題です。公式によれば、ベンダー(店舗)が金銭的な被害を受けるおそれがあります。攻撃の具体的な内容や規模は公表されていません。
対処方法
修正版へ更新します。すぐに更新できない場合は、更新までの間に注文や支払いの金額・状態に不整合がないかを点検してください。すでに悪用されているため、更新前の期間の注文履歴も確認しておくと安心です。
確認方法
Composer のバージョン表示、または管理画面の更新レポートで、Commerce Core の版を確認します。
対応チェックリスト
- Commerce Core を使っているか、バージョンを確認する
- 3.3.13(3.x 系)または 8.x-2.41 以降に更新する
- 注文・支払い・返金の履歴に不整合がないか点検する
出典
- SA-CONTRIB-2026-254(Drupal Security Team・2026年10月30日)
- Drupal warns of critical Commerce Core flaw exploited in attacks(BleepingComputer・2026年10月30日)
- Hackers Actively Exploit Highly Critical Drupal Commerce Core Authorization Bypass Flaw(The Hacker News・2026年10月30日)
