対象：Drupal Commerceでオンラインショップを運営している担当者と開発者。本記事はDrupalのセキュリティ勧告とNVDの公開情報にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日（日本時間）時点まだ分かっていないこと
- 攻撃者がこの回避で何をしているか、被害の規模（Drupalは詳細を公表していない）
- NVD自身の分析（状態は分析待ち、Awaiting Analysis、10月30日）
- 米CISAがKEVへ追加するか
Drupalは10月28日にSA-CONTRIB-2026-254を修正版とともに公表し、実際に悪用されているとしています。10月31日に、勧告、NVD、米CISAのKEV一覧を確認しました。
今日やること
Commerce Coreの版を確かめる
Composerのロックファイルか、Drupalの「機能拡張」の画面で、Commerce Core（マシン名 commerce）の版を見ます。対象は、8.x-2.41より前と、3.0.0から3.3.13より前です。
更新する
Drupalの勧告のとおり、3.x系は3.3.13、2.x系は8.x-2.41へ上げます。可能ならステージングで試しますが、試験に時間をかけすぎて、本番を対象の版のまま置かないでください。
注文と決済を点検する
Drupalは、注文に不整合がないかを点検するよう求めています。当サイトの提案として、支払い済み・完了の注文を決済事業者の記録と突き合わせ、予期しない金額、合計、注文の状態、顧客の項目がないかを見ます。悪用は10月28日の勧告より前から始まっていた可能性があるため、10月28日からの点検では足りないかもしれません。ログが残る限りさかのぼります。
ログを残し、ほかの兆候を確かめる
更新前のWebサーバーとアプリケーションのログを保存します。説明のつかない点が見つかったら、開発担当と決済事業者に相談し、自社に当てはまる個人情報保護やカード情報の規則に基づく報告義務も確認します（当サイトの判断）。
何が公表されたのか
- 製品
- Commerce Core（マシン名 commerce）。カート、決済画面、APIで商品やサービスを売るためのDrupalモジュール
- 種類
- アクセス制御の回避。モジュールが一部のルートとエンティティのフィールドを十分に守っていない（Drupal）。NVDでは認可の欠如（CWE-862）、強制ブラウジング
- 深刻度
- Drupal：Highly critical、21/25。アクセスの複雑さなし、認証不要、機密性・完全性への影響は一部、悪用あり、すべての構成が対象。NVDの記録：CVSS v3.1で6.5（NVDの記録に追記された米CISAのADPの値）
- 対象
- 8.x-2.41より前。3.0.0から3.3.13より前
- 修正版
- 8.x-2.41、3.3.13
- 悪用
- Drupalは「実際に悪用されている」と明記。誰が、どの規模でかは非公表
- 公表
- 2026年10月28日（Drupal）。NVDの記録は10月30日に作成
2つの評価が違う理由です。Drupalの点数は25点満点の独自の物差しで、悪用が出ていることやすべての構成が対象になることを数えます。NVDの6.5は、技術的な影響を中心にしたCVSSの計算で、悪用の有無は入りません。どちらかが誤りというわけではありませんが、急ぐべき度合いは前者のほうがよく表します。NVDの記録には、米CISAのADP（調整役）が10月30日に悪用を「none」とした評価もありますが、開発元のDrupalが悪用中だとしているので、当サイトはDrupalの発表に従います。
1. 版を確かめる
8.x-2.41より前、3.3.13より前が対象
2. 更新する
8.x-2.41 または 3.3.13
3. 注文を点検する
決済事業者の記録と突き合わせる
経過
10月28日
Drupalのセキュリティチームが、SA-CONTRIB-2026-254を修正版とともに公表し、実際に悪用されているとした。10月30日
NVDがCVE-2026-118539の記録を作成（分析待ち、米CISAのADPのCVSS 6.5）。
分かっていること・分かっていないこと
| 項目 | 状態 |
|---|---|
| 悪用 | Drupalが明記。詳細は非公表 |
| 対象と修正版 | Drupalが公表（上記） |
| NVD | 分析待ち。米CISAのADPのCVSS 6.5 |
| 米CISAのKEV | 10月31日時点で未登録 |
| 攻撃の規模と、注文に何が行われたか | 公表されていない |
出典
2026年10月31日（日本時間）に確認しました。
- Drupal.org「Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254」（2026年10月28日） — drupal.org
- NVD「CVE-2026-118539」 — nvd.nist.gov
- 米CISA「Known Exploited Vulnerabilities Catalog」（10月31日に確認、未登録） — cisa.gov
更新履歴
2026-10-31：初版。Drupalの勧告とNVDにもとづく。
次に読む
- 同じく悪用が確認されたEC基盤の脆弱性：Adobe Commerce・Magentoの脆弱性 CVE-2026-48356
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：CVSSとは