要点
- Drupal でネットショップを作るモジュール「Commerce Core」に、ログインしていない人でも権限の確認をすり抜けられる欠陥が見つかった。
- Drupal のセキュリティチームは、この欠陥が「実際に悪用されている」と発表し、店にお金の損害が出るおそれがあるとしている。
- 店の運営者は修正版に更新したうえで、これまでの注文におかしな点がないかを点検する必要がある。
何が起きたか
Drupal は、ウェブサイトを作るためのオープンソースのソフトである。Commerce Core は Drupal にカートや購入手続きを足すモジュール（あとから入れる追加機能）で、Drupal のネットショップを支える中心の部品だ。プロジェクトページによると、42,002 のサイトが使っている。
Drupal のセキュリティチームは 2026年10月28日、Commerce Core についての勧告 SA-CONTRIB-2026-254 を出した。危険度は 5 段階でいちばん上の「Highly critical」で、点数は 25 点中 21 点である。
欠陥の種類は「Access bypass」で、権限の確認をすり抜けられてしまうものだ。勧告は原因として、守りが足りないページの入口やデータの項目があることを挙げている。そのせいで、売る側にお金の損害が出るおそれがあるという。点数の内訳を見ると、攻撃する側はログインしていなくてよく、どの設定のサイトでも当たるとされている。
勧告は、この欠陥が「実際に悪用されている」と書いている。サイトの運営者には、注文に不整合（つじつまの合わない点）がないかを点検するよう求めている。
勧告で分かるのは、悪用が起きていることと、注文を点検してほしいということまでだ。「お金の損害」がどんな形で出るのかは書かれていない。
同じ日に、Commerce Core にはほかに 5 つの勧告（情報が漏れる欠陥、別の権限すり抜け、なりすましの操作を許す欠陥など）も出ている。どれも同じ修正版で直る。
日本の利用者への影響
日本で Commerce Core を使うサイトの数や、日本での被害は、勧告からは分からない。
日本のネットショップは、ショッピングモールへの出店や、国内向けのネットショップ作成サービスを使うことが多い。Drupal Commerce で一から店を作る例は限られるとみられる（これはこのサイトの見立てである）。ただし、海外向けの通販サイト、大学や団体の物販・申し込みのページ、外国の制作会社が作ったサイトなどでは、使われている可能性がある。
自分の会社のサイトが Drupal で作られているか分からないときは、制作会社や保守の担当に確かめてほしい。
今すぐやること
- Drupal で、Commerce Core を使っているか確かめる。 自社のネットショップや申し込みページが Drupal で作られているか、制作会社や保守の担当に聞く。
- 修正版に更新する。 Drupal は、3.x の系統なら 3.3.13 に、それより前の系統なら 8.x-2.41 に上げるよう勧めている。
- 注文を点検する。 Drupal は、注文に不整合がないかを点検するよう求めている。どこを見るかは勧告に書かれていない。このサイトの見立てでは、注文の金額・状態・中身を、決済会社の入金の記録や在庫の動きと突き合わせるのがよい。
- おかしな注文が見つかったら、発送を止めて記録を残す。 決済会社と制作会社に連絡し、サーバーのアクセスの記録を消さないようにする。
背景
Drupal では、2026年に入って大きな欠陥が続いている。5月には SQL インジェクション（データベースに不正な命令を紛れ込ませる攻撃）の欠陥 CVE-2026-9082 が悪用され、米国の CISA（サイバーセキュリティの政府機関）が「悪用が確認された欠陥の一覧」に加えた。
今回のように、ネットショップの機能そのものの欠陥は、情報を盗むより先に、お金や商品のやりとりをおかしくするのに使われうる。ログインが要らない欠陥は、ネット上のサイトを片っ端から調べる攻撃に向いている。更新が遅れた店ほど狙われやすい。
技術者向けの詳細
- 勧告: SA-CONTRIB-2026-254／CVE-2026-118539
- 種類: Access bypass（権限の確認の不足）
- 危険度: Highly critical、21/25（Drupal の 5 段階で最上位。20〜25 点がこの段階）。内訳は、攻撃の難しさ・必要な権限ともに「なし」（ログイン不要）、公開されていない情報の漏れと、データの書き換えはともに「一部」、悪用のコードがすでに出回っている、全ての設定で当たる、となっている。各項目の意味は Drupal の危険度の定義 を参照
- 影響を受ける版（勧告の表記）:
<2.41 || >=3.0.0 <3.3.13 - 修正版: 3.3.13（Drupal ^10.3 || ^11）、8.x-2.41（Drupal ^9.3 || ^10）
- 3.3.13 は 2026-10-28 15:42 UTC（日本時間 10月29日 0時42分）に公開された。同じ版で SA-CONTRIB-2026-255〜259 も直る
- 入っている版の確かめ方:
composer show drupal/commerce
- 更新（3.x の場合。リリースページの記載）:
composer require 'drupal/commerce:^3.3'
- 勧告は、注文の不整合を点検するよう求めている。具体的な痕跡（IoC）は公開されていない。注文、支払い、注文の状態の変更履歴を、決済代行の記録と突き合わせる
- 報告者: Dan Puccetti、Marcus Johansson、Robert Snyder（勧告による）