Craft CommerceのMollie決済連携に、別の支払い情報を流用して未払い注文を決済済みにできるCVE-2026-115937。修正版4.4.3と売上照合の実務を解説。
30秒でわかる / THE SIGNAL
Craft Commerce Mollie 2.1.1以上4.4.3未満にHIGH（CVSS v4.0で8.7）の脆弱性。決済通知の取引識別子と支払いIDの対応を検証せず、別の支払いを流用して未払い注文を決済済みにできる恐れ。4.4.3以上への更新と決済照合が必要。
未払いなのに決済済みになる可能性
Craft Commerce向けMollie決済プラグインにCVE-2026-115937が公表された。深刻度はHIGH、CVSS v4.0で8.7。特定条件で未払いの注文が支払い済みとして処理され、商品出荷やサービス提供につながる恐れがある。
公式勧告：https://github.com/craftcms/commerce-mollie/security/advisories/GHSA-3qcx-mjf6-48vj
原因は取引と支払いの紐付け確認不足
Mollieの決済通知を受けるWebhookには、Craft Commerce側の取引を示すcommerceTransactionHashと、Mollie側の支払いを示すidが渡される。脆弱なバージョンでは両者が同じ取引に属するか検証していなかった。同じ店舗の支払い済みMollie決済IDと対象取引の識別子を攻撃者が入手できれば、別の支払い結果を対象取引に結び付けられる可能性がある。Mollie決済サービス自体の侵害を示すものではない。
影響範囲と修正版
影響範囲はCraft Commerce Mollie 2.1.1以上4.4.3未満。修正版4.4.3では決済通知に含まれる取引識別子と支払いIDの対応を確認するよう修正された。4.4.3以上へ更新し、Webhookと注文ステータスの連携をテストする。
公式リリース：https://github.com/craftcms/commerce-mollie/releases/tag/4.4.3
EC運営者が確認したいこと
更新を優先し、管理画面の注文ステータスだけを根拠にせず、Mollie側の決済ID・入金額・注文金額を突き合わせる。過去の注文についても決済済み表示と決済事業者の記録に不整合がないか確認したい。実際の攻撃による悪用や被害件数は一次情報では確認できない。
WORK SIGNALの視点｜決済完了は表示ではなく照合で決まる
外部サービスから届く「成功」の通知が、そのまま出荷やサービス提供の判断につながることがある。重要なのは通知が届いたことだけでなく、どの注文のいくらの支払いに対応するかを検証すること。技術的な照合不足はEC運営の売上と在庫に直結する。