Drupal Commerce ― 認可の欠陥が悪用され修正版を公開

要点

影響を受けるもの

Drupal用のECモジュール Commerce Core（commerce） の 8.x-2.41 未満、および 3.0.0 以上 3.3.13 未満（Drupal）。
修正版は 3.3.13（3.x系）と 8.x-2.41（それ以前の系列）。

今すぐやること

Commerce Coreを使うサイトは修正版に更新する。
Drupalの求めに従い、注文に不整合がないか確認する（支払いと金額・状態が合わない注文など）。

何が起きているか

事実（Drupal、CVEレコード、報道）

Drupalセキュリティチームは2026年10月28日（米国時間）、SA-CONTRIB-2026-254 を公開した。種類は「Access bypass（アクセス制御の回避）」、リスク評価は Highly critical（21／25）。
勧告の説明は「このモジュールは一部のルート（URL）とエンティティのフィールドを十分に保護しておらず、販売者に金銭的な影響を与えうるアクセス制御の回避につながる」というもの。どのルート・フィールドかは公表されていない。
評価の内訳は AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All。Drupalの評価方式では、攻撃の難しさが低く、認証が要らず、一部のデータの読み取り・改ざんができ、攻撃コード（悪用）が存在し、すべての設定が対象であることを意味する。
勧告は「この脆弱性は実際に悪用されている」と明記し、注文の不整合を監査するよう求めている。
CVEレコード（Drupalが採番）では、弱点の種類は CWE-862（認可の欠落）、攻撃パターンは CAPEC-87（強制ブラウジング、本来見えないURLを直接開く手口）とされている。
攻撃者、標的、被害の規模、修正前から悪用されていたか（ゼロデイだったか）は公表されていない（SecurityWeek）。
報道によると、Commerce Coreは4万2,000以上のサイトで使われている（BleepingComputer、SecurityWeek）。
カナダのサイバーセキュリティセンターも10月30日に注意喚起（AV26-1105）を出した。2026年11月1日時点で、CISAのKEVには登録されていない。

影響を受ける製品・バージョン

系列	影響を受ける版	修正版
3.x	3.0.0 以上 3.3.13 未満	3.3.13
8.x-2.x 以前	2.41 未満	8.x-2.41

Drupal本体（コア）の脆弱性ではなく、追加モジュールの Commerce Core の脆弱性。Commerceを入れていないDrupalサイトは対象外。

修正版・回避策

修正：3.x系は 3.3.13、それ以前は 8.x-2.41 に更新する（Drupal）。
勧告には回避策の記載はない。

今すぐやること

composer show drupal/commerce や管理画面の「利用可能な更新」で、Commerce Coreの版を確認する。
該当すれば修正版に更新し、キャッシュを再構築する（drush updb、drush cr など、自分の運用手順で）。
悪用が確認されているため、更新後に注文データを点検する。支払い記録のない完了注文、商品価格と合わない金額、通常の画面操作では起きない状態の変化などがないかを確認する。
Webサーバーのアクセスログで、Commerce関連のルートへの不審な直接アクセスがなかったかを確認する。具体的な痕跡（IoC）は公表されていないため、通常と異なるアクセスを手がかりにする。

考察

狙いは「お金の流れ」と考えられる: 勧告は「販売者に金銭的な影響」と書き、注文の監査を求めている。サーバーの乗っ取りではなく、注文や金額を不正に操作する種類の悪用が想定されていると読める。ただし、具体的な手口は公表されていない。
アップデートだけでは被害は戻らない: 悪用済みの不正な注文は、更新しても残る。発送前の注文を止められるかどうかが被害額を左右するため、更新と同時に注文の確認を急ぎたい。
詳細が出る前が対応の時間: Drupalは対象のルートを伏せているが、修正の差分から攻撃方法を割り出されるおそれがある。KEV入りを待たずに更新しておくのが無難だと考える。

出典

原文をGitHubで読む ↗