2026-10-31
Drupal Commerce Coreの脆弱性 CVE-2026-118539：ログインなしでアクセス制御を回避、悪用あり（8.x-2.41・3.3.13へ更新）
Drupalのセキュリティチームは2026年10月28日、Commerce Coreモジュールの脆弱性（CVE-2026-118539）をSA-CONTRIB-2026-254として公表した。モジュールが一部のルートとエンティティのフィールドを十分に守っておらず、アクセス制御を回避でき、店側に金銭的な影響が出るおそれがある。Drupalは、認証不要の「Highly critical」（21/25）と評価し、実際に悪用されていると明記している。対象は8.x-2.41より前と、3.0.0から3.3.13より前。修正版は8.x-2.41と3.3.13。NVDの記録には、米CISAのADPが追記した低いCVSS v3.1の6.5があり、NVD自身の分析は終わっていない。10月31日時点で、米CISAのKEVには載っていない。当サイトの結論：Drupal Commerceでオンラインショップを運営しているなら、今すぐ更新し、最近の注文と決済に不整合がないかを点検する。