コンテンツ管理システム(CMS)の「Drupal」を開発するチームは、ネットショップ機能を提供する部品「Commerce Core」に見つかった欠陥について、「極めて深刻(highly critical)」と警告しました。さらに、この欠陥はすでに攻撃者によって悪用されている、とも伝えています。
問題は、CVE-2026-118539として管理されている「認可の欠如(Missing Authorization)」と呼ばれるタイプのセキュリティホールです。これは、本来は特定の権限を持つ人しかできない操作を、その確認が抜けているせいで、権限のない人でも実行できてしまう、という種類の欠陥を指します。建物にたとえるなら、「社員だけが入れる部屋」の鍵をかけ忘れていた状態に近いものです。
影響を受けるのは、Commerce Coreのバージョン0.0.0から2.41まで、および3.0.0から3.3.13までです。つまり、古い系統から比較的新しい系統まで、幅広い版が対象になっています。なお、深刻度を示すCVSSスコアは、現時点の情報では「N/A(未算定)」と表示されています。
Drupal Commerceを使ってネットショップを運営している場合は、まず自分のサイトで使っているCommerce Coreのバージョンを確認してください。該当する場合は、Drupalの公式アドバイザリ(注意喚起)に従って、修正版へ早めにアップデートすることが重要です。すでに悪用が始まっているため、「あとで対応する」では間に合わない可能性があります。あわせて、管理画面のログや注文データに不審な変更がないかも点検しておくと安心です。