本文へ移動

脆弱性悪用確認・修正版あり公表

DrupalのEC機能に重大な欠陥、すでに悪用　販売側に金銭的影響のおそれ

Commerce Coreのアクセス制御を回避される問題。公式は更新に加え、注文内容の点検を求めている。

対象となる人

DrupalのECモジュール「Commerce Core」を使うサイトの管理・保守担当者。2.41未満、または3.0.0以上3.3.13未満が対象です。1

今すべきこと

公式の案内

3系は3.3.13、それ以前の系列は8.x-2.41へ更新してください。すでに悪用されているため、注文内容の不整合も点検してください。1

初回公表: 2026.10.28
参照情報の更新: 2026.10.28
当サイトの確認: 2026.10.31

#Drupal #Commerce Core #ECサイト #CVE-2026-118539

押さえたい、3つのポイント

すでに悪用を確認
CVE-2026-118539。公式は「Highly critical」と評価し、実際の攻撃で悪用されていると公表。1
起こり得る被害
一部の経路・データ項目の保護が不十分で、アクセス制御を回避され、販売側に金銭的影響が生じるおそれ。1
公式の対応
3系は3.3.13、それ以前の系列は8.x-2.41へ更新。注文に不整合がないかも点検する。1

公式ソースを確認する

1Drupal：Commerce Coreのセキュリティ勧告 ↗www.drupal.org

𝕏 でシェア

もう少し詳しく

対象バージョン: Commerce Coreの2.41未満、および3.0.0以上3.3.13未満が対象。Drupalを使う全サイトに一律に該当するものではありません。1

影響対象はCommerce Coreです。公式勧告にない被害件数や具体的な注文改ざんの手口は断定しません。