Drupal Commerce のCVE-2026-118539 が FIX：$0.01 での購入によりストア運営者に金銭的損失が生じる可能性

Critical Drupal Commerce Vulnerability Could Let Hackers Buy Products for Just $0.01

2026/10/30 CyberSecurityNews — Drupal Commerce Core に存在する、深刻なセキュリティ上の脆弱性を悪用する攻撃者により、オンラインストアが金銭的損失を被る危険性があると、同社は警告している。脆弱性 CVE-2026-118539 を悪用する攻撃者は、Drupal の Web サイトや接続されたショッピング・アプリケーションで、商品やサービスを販売するために使用されるモジュールのアクセス制御を回避できる。今回の脆弱性で懸念されるのは、ストアのデータや取引情報が不正に変更される可能性である。ただし、攻撃者が商品を0.01ドルで購入できるという点について、Drupal は確認していない。

公開されたセキュリティ・アドバイザリには、この購入価格に関する具体的な記載はなく、金銭的な影響が生じる可能性が説明されている。また、攻撃者が変更できるフィールドの名称や、実際に確認された攻撃の仕組みについても明らかにされていない。

2026年10月28日に公開された Drupal の公式セキュリティ・アドバイザリでは、特定の経路とエンティティ・フィールドに対する不十分な保護が指摘されている。この経路は Web サイトの機能に対するリクエストを処理し、エンティティ・フィールドはサイト内のレコードに関連するデータを保持する。アクセス制御が不十分な場合、本来は操作権限を持たない利用者が、機能やデータにアクセスする可能性がある。

Drupal Commerce の深刻な脆弱性

Drupal は、この脆弱性に対して、25点満点中 21点のリスクスコアを割り当て、深刻度を Highly Critical に分類している。これは Drupal 独自のセキュリティ評価基準であり、CVSS スコアではない。この評価は、認証なしで悪用できる脆弱性であり、脆弱なバージョンのモジュールを使用する、すべての構成が影響を受けることを示している。

また、この評価では、一部の非公開情報が漏えいする可能性や、一部のデータが変更される可能性も指摘されている。Drupal は実際の悪用を確認しているが、影響を受けたストアの名称／攻撃件数／詳細な攻撃手法については公表していない。また、セキュリティ・アドバイザリでは、リモートコード実行や Web サイト全体の乗っ取りが可能であるとは述べていない。

Commerce Core がサポートするのは、ショッピングカート／購入手続き用のフォーム／API を通じて接続される外部アプリケーションなどである。プロジェクト・ページによると、42,000以上の Web サイトで、このモジュールが使用されているという。ただし、この数値は報告された導入サイト数を示すものであり、脆弱性の影響を受けることが確認されたストアや、実際に侵害されたストアの数を示すわけではない。

この脆弱性は、Commerce Core バージョン 2.41 未満／バージョン 3.0.0 〜 3.3.13 未満に影響する。3.x 系列を使用している管理者は、Commerce Core 3.3.13 をインストールする必要がある。それ以前の系列を使用しているサイトは、Drupal が公開したガイダンスに従い、Commerce Core 8.x-2.41 にアップグレードする必要がある。

これらは Commerce モジュールのアップデートであり、Drupal Core のセキュリティリリースとは別のものである。以前に報じられた Drupal の深刻なリモート・コード実行の脆弱性は、今回とは異なる問題である。ストアの運営者は、最近の Drupal Core のアップデートにより、今回の脆弱性も修正されたと判断せず、インストールされている Commerce パッケージのバージョンを確認する必要がある。

すでに悪用が発生していることから、Drupal は影響を受けるサイトに対して、注文情報に不整合がないか監査するよう強く勧告している。アップデートの適用に加えて、記録された注文内容を本来の価格や決済記録と照合し、原因を説明できない差異があれば調査することが推奨される。ただし、こうした差異が存在するだけで、侵害の証拠と判断すべきではない。

今回の脅威は、オンラインストアの購入手続きページを標的とする Magecart 攻撃とは異なる。Magecart 攻撃では顧客の決済情報が窃取されるが、今回の Drupal の警告は、アクセス制御の不備により、ストア運営者に金銭的損失が生じる可能性に焦点を当てるものだ。

この脆弱性は、セキュリティ研究者の Dan Puccetti／Marcus Johansson／Robert Snyder により報告された。影響を受けるオンラインストアでは、迅速な修正パッチの適用と注文情報の確認が、優先すべき対応となる。

この記事は、Drupal の E コマース拡張モジュールである Drupal Commerce Core に存在するアクセス制御の脆弱性 CVE-2026-118539 と、それに伴うリスクについて解説するものです。処理経路やデータ領域に対するアクセス権限検証の不足が背景に存在します。影響として、未認証の攻撃者による制限領域への侵入／店舗データや取引情報の不認可な改ざん／秘匿情報の外部流出が生じる恐れがあります。対応策として、最新の修正済みモジュールへの速やかな更新／注文データや決済ログとの照合による整合性の検証が求められます。