Drupal 10月28日のアドバイザリ、Commerce Core 以外も要対応:Stage File Proxy、Single Content Sync の RCE、Commerce Stripe、悪用済みの CAPTCHA 脆弱性

Drupal セキュリティチームは 2026年10月28日(水)、コントリビュートモジュール向けに 21 件のセキュリティアドバイザリを公開しました。修正は合計 39 件で、Drupal コアは対象外です。すでに注目されているのは、実際に悪用されている Commerce Core のアクセスバイパス(SA-CONTRIB-2026-254)と、AI モジュールの 8 件の修正です。本記事では、それ以外で今週中に更新すべき広く使われているモジュールをまとめます。

Critical:今週中に更新

• Stage File Proxy(SA-CONTRIB-2026-286)、約 27,000 サイト。 404 時のフォールバックダウンロードでファイルパスを適切にチェックしておらず、クロスサイトスクリプティングにつながるおそれがありました。悪用には、攻撃者が本番サイトに悪意あるファイルをアップロードできることが前提です。修正ではフォールバック取得を styles/ 配下のパスに限定しています。4.0.1 または 3.1.7 に更新してください。開発用のモジュールなので、そもそも本番環境で有効になっていないかも確認しましょう。
• Single Content Sync(SA-CONTRIB-2026-275、-274)、約 19,700 サイト。 悪意あるインポートファイルにより、インラインブロックデータの信頼できないデシリアライズを通じてリモートコード実行が可能でした。ファイルパス制御の問題も含まれます。悪用できるのはインポート権限を持つユーザーのみです。1.4.19 に更新してください。このリリースではインポートファイルの検証と、リモートダウンロード先を信頼済みホストに限定する機能も追加されています。
• Commerce Stripe(SA-CONTRIB-2026-263、-264、-265)、約 5,200 サイト。 Stripe Connect の戻り処理に state トークンがなく、管理者が偽装リンクをクリックすると、支払いがないまま注文が「支払済み」になるおそれがありました。Webhook 署名シークレットの検証強制と XSS 修正も含まれます。2.2.3 に更新してください。
• OAuth Login - OAuth OIDC SSO(SA-CONTRIB-2026-284)。 保護されていないテスト設定ルートと email_verified チェックの欠如により、メールアドレスを知っている既存ユーザーとしてログインされるおそれがありました。3.1.1 に更新してください。
• Signature pad widget(SA-CONTRIB-2026-285) は SVG 署名のサニタイズを追加(8.x-1.15 へ更新)、OAuth2 Token Manager(SA-CONTRIB-2026-290) は検証ルートのアクセス制限を追加しました(8.x-1.2 へ更新)。
• 修正なしで公開停止: CacheFlush(SA-CONTRIB-2026-276)、GroupEx PRO(Daxko)integration(SA-CONTRIB-2026-278)、PayUmoney for Drupal Commerce(SA-CONTRIB-2026-277)。メンテナが報告された問題を修正しなかったため、削除または代替への置き換えが唯一の対処法です。

Moderately critical だが、1 件は悪用済み

• CAPTCHA(SA-CONTRIB-2026-281)、約 276,000 サイト。 解決済みの CAPTCHA セッションが使用済みとしてマークされず、新しいチャレンジを解かずに保護されたフォームを繰り返し送信できました。評価は moderately critical ですが、アドバイザリでは実際の攻撃で使われたとされているため、スパムが多いサイトは月次の更新サイクルを待たずに対応すべきです。2.0.11 または 8.x-1.18 に更新してください。
• Field Permissions(SA-CONTRIB-2026-289、-288)、約 78,000 サイト: 所有者のないエンティティのプライベートフィールドが閲覧可能でした。8.x-1.6 に更新してください。
• Commerce Shipping(SA-CONTRIB-2026-261、-262): 一部の構成で誰でも配送の変更・削除ができました。8.x-2.16 または 3.0.6 に更新してください。
• Commerce License(SA-CONTRIB-2026-260): 購入者が自分のライセンスを編集して管理者権限を得られました。3.1.1 に更新してください。
• S3 File System、Media Alias Display、Content Sync(content-sync.io)、Fasttoggle、OpenID Connect Client、Bulk Update User Roles にも修正が出ています。

対応のポイント

composer outdated "drupal/*" を実行する(または レポート > 利用可能な更新 を確認する)ことで対象を洗い出し、Commerce Core、Stage File Proxy、Single Content Sync、Commerce Stripe、CAPTCHA を優先してください。Stripe、Shipping、License を使っている Commerce サイトは、Commerce Core 3.3.13 または 8.x-2.41 と合わせてまとめて更新し、その後、Stripe 側に対応する決済がないのに「支払済み」になっている注文がないか最近の注文を確認しましょう。

また、Drupal 10 は 2026年12月9日にサポート終了(EOL)を迎えます。それ以降、こうしたコントリビュートモジュールの修正は Drupal 11 と 12 のみを対象とするケースが増えていきます。

出典:drupal.org のセキュリティアドバイザリ、Peter Brady による週次まとめ。

古いコアやモジュールのブランチから抜け出せず、これらの更新をそのまま適用できない Drupal サイトについては、RescuePHP がアップグレード、互換性修正、セキュリティパッチのバックポートをお手伝いします。