Drupal Commerce Coreに、認証されていない攻撃者がアクセス制御を回避できる重大な脆弱性が見つかり、実際の攻撃で悪用されています。Drupalのセキュリティチームは、対象バージョンを使う管理者に直ちに更新し、注文データに不整合がないか監査するよう求めました。
Commerce Coreの認可不備が攻撃に悪用
脆弱性はCVE-2026-118539として追跡されています。Commerce Coreの一部のルートとエンティティフィールドが十分に保護されていないことが原因で、権限のない利用者が本来許可されない操作を実行したり、情報にアクセスしたりするおそれがあります。Drupalは深刻度を「Highly critical」と分類し、悪用が進行中だとしています。
Commerce Coreは、Drupal上でECサイトやショッピングアプリを構築・運用するためのコミュニティ開発モジュールです。商品やサービスの販売に使うカートとチェックアウト機能を備え、APIを通じて別のアプリから利用する構成にも対応します。Drupalを基盤にするこのモジュールは、4万2,000を超えるウェブサイトで使われています。
影響するのはCommerce Coreの0.0.0から2.41までと、3.0.0から3.3.13までのバージョンです。Drupalは3.x系の利用者に3.3.13への更新を案内し、旧バージョンには8.x-2.41を示しています。Drupalは更新後の注文監査も推奨しています。
Drupalのルートでは操作ごとに権限を確認
Drupalでは、URLに対応する処理単位をルートと呼びます。エンティティは、連絡先や注文など、Drupalが管理するデータの単位です。ルートのアクセス要件には、エンティティの閲覧・更新・削除を確認する方法、作成権限を確認する方法、特定の権限の有無を調べる方法があります。
既存のエンティティを操作するルートは、対象データと操作の種類を渡してアクセスを確認する構成にできます。新しいエンティティを作るルートでは、まだ対象データが存在しないため、作成権限を確認する仕組みを使います。一覧表示や設定画面のように個別データに紐づかないルートは、利用者が特定の権限を持つかどうかで保護できます。
Commerce Coreの今回の脆弱性では、一部のルートとエンティティフィールドの保護が不十分だったとされています。そのため、修正版への更新が必要で、Drupalは注文の監査も求めています。
自己運用型では更新対応も運営側の仕事に
Drupal CommerceはオープンソースのEC基盤で、導入先がホスティング環境やデータベースを管理する構成を取れます。自己運用型では、システムの更新やホスティングの保護を運営側が担います。Drupalは今回、管理者に修正版への更新と注文の監査を求めています。
一方、Shopifyのようなホステッド型サービスでは、基盤のホスティングやセキュリティ更新をサービス提供者が扱います。ホステッド型は、店舗運営者がインフラやパッチ適用を直接管理する負担を減らす仕組みです。ただし、アプリなどの追加要素は別のリスク要因になりうるとされています。
Drupal Commerceでは柔軟に構成を変えられる一方、運営者が更新を適用し、利用環境を管理する必要があります。自己運用型のCMSでは、拡張機能を含めて更新状況を管理することもセキュリティ運用の一部です。
Drupalでは過去にも悪用脆弱性への対応
Drupalは5月にも、データベース抽象化APIのSQLインジェクション脆弱性が攻撃に使われていると警告しました。SQLインジェクションは、細工した入力を通じてデータベースに不正な命令を実行させる攻撃手法です。同じ脆弱性は後に米国のサイバーセキュリティ・インフラ安全保障庁（CISA）の既知悪用脆弱性カタログに加えられ、連邦機関には3日以内の修正が求められました。
その後、Drupalはリモートコード実行につながる2件の脆弱性も修正し、管理者に早急な更新を促しました。リモートコード実行は、攻撃者が対象システム上でコードを実行できる状態を指します。CISAはここ数年に、実際の攻撃で悪用されたDrupalの脆弱性を5件カタログに登録しており、そのうち2件はランサムウェア集団にも悪用されました。
Commerce Coreの今回の問題は、Drupal本体ではなく、Drupal上でEC機能を提供するモジュールに関するものです。自己運用型の構成では、基盤だけでなく利用中のモジュールにも修正版が出ていないかを管理する必要があります。
