サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Drupal Coreの重大なSQLインジェクション脆弱性に関する緊急警告を発令しました。この脆弱性はCVE-2026-9082として追跡されており、現在野生で積極的に悪用されています。
この欠陥はCISAの既知の悪用される脆弱性（KEV）カタログに追加されており、影響を受けたDrupalデプロイメントを使用している組織に高いリスクを示唆しています。
Drupal Core SQLインジェクション脆弱性
脆弱性はDrupal Coreに影響を与え、プラットフォームのデータベース抽象化API内でユーザー提供入力の不適切な処理から生じています。CWE-89（SQLインジェクション）に分類されるこの欠陥により、攻撃者は特別に細工されたリクエストを通じて悪意のあるSQLクエリを実行できます。
成功した悪用により、脅威行為者は特権をエスカレートし、機密データベースコンテンツにアクセスし、脆弱なシステムでリモートコード実行（RCE）を達成する可能性があります。これにより、コンテンツ管理とバックエンド操作のためにDrupalに依存するウェブサイトのリスクが大幅に増加します。
- CVE ID： CVE-2026-9082
- 影響を受ける製品： Drupal Core
- 脆弱性のタイプ： SQLインジェクション（CWE-89）
- 影響： 特権昇格、データ公開、潜在的RCE
- 悪用状況： 積極的に悪用されている
CISAは2026年5月22日にCVE-2026-9082をそのKEVカタログに追加し、連邦機関が2026年5月27日までに問題を改善することを要求しました。この含有は実世界の攻撃での確認された悪用活動を強調しています。ただし、この脆弱性に特定のランサムウェアキャンペーンはまだ公開されていません。
拘束力のある運用指令（BOD）22-01に基づき、連邦機関は修正が利用できない場合、ベンダーが推奨する軽減策を適用するか、影響を受けた製品の使用を中止する必要があります。
攻撃者は、Drupalのデータベースレイヤーを対象とした細工されたHTTPリクエストを送信することにより、認証なしでこの脆弱性をリモートから悪用できます。DrupalはエンタープライズおよびGovernmentウェブサイトの多くに電力を供給しているため、攻撃面は大きいです。
この欠陥は、データベースアクセス制御が弱い環境や、Webアプリケーションファイアウォール（WAF）がインジェクション試行を検出するように適切に設定されていない環境では特に危険です。
軽減策と推奨事項
Drupal Coreを使用している組織は、すぐに行動を起こすことを強くお勧めします：
- Drupalセキュリティチームによってリリースされた最新のセキュリティパッチを適用する
- データベースアクセス制御をレビューおよび強化する
- SQLインジェクション試行を検出するためにWAFルールを実装または更新する
- 疑わしいクエリパターンまたは異常なデータベース活動のログを監視する
- 改善タイムラインについてCISA BOD 22-01ガイダンスに従う
パッチが利用できない場合、またはすぐに適用できない場合、組織は脆弱なサービスを一時的にオフにするか、外部アクセスを制限することを検討する必要があります。
この事件は、攻撃者がエンタープライズ環境への初期アクセスを獲得するために広く使用されているコンテンツ管理システム（CMS）を対象とするより広い傾向を強調しています。SQLインジェクションは、その単純さと高い影響のため、最も悪用される脆弱性の1つのままです。
セキュリティチームは、パッチ管理を優先し、CVE-2026-9082および同様の脆弱性の更新について脅威インテリジェンスを継続的に監視することをお勧めします。
悪用が続く中、データ侵害と潜在的なシステム侵害を防ぐのにタイムリーな改善が重要になります。
翻訳元: https://gbhackers.com/cisa-warns-drupal-core-sql-injection-vulnerability/
