Drupalは、サポート対象のすべてのバージョンのコンテンツ管理システム（CMS）で稼働するWebサイトにおいて、攻撃者がリモートからコードを実行できる恐れのある2件の重大な脆弱性を修正しました。
影響を受けるのは、コア本体のField UIモジュールと、コントリビュートモジュールのEntity Listモジュールです。Drupalは今週初めに事前警告を出し、脆弱性の公開直後に攻撃者がエクスプロイトを開発する可能性があるとして、管理者に速やかな更新を促しました。
プロジェクトのセキュリティチームは、「エクスプロイトは数時間から数日で開発される可能性があるため、Drupalセキュリティチームは、その時間帯にコアの更新作業を行えるよう時間を確保することを強く推奨します」と警告しています。
Visit Advertiser websiteGO TO PAGE
「お使いのDrupalのバージョンに対応する最新のサポート対象パッチ（バグ修正）リリースへ、10月14日までに更新することをお勧めします。そうすれば、セキュリティ更新の公開時間帯の前に、その他のアップグレード上の問題に対処できます」
Drupalは、Webサイトの構築・管理に使われる無償のオープンソースCMSです。政府機関、大学、非営利団体などで特に人気があります。
プロジェクトのWebサイトによると、100万以上のWebサイトがDrupalで稼働しています。
このオープンソースプロジェクトは今週初め、2件の脆弱性の詳細を公表し、「現在サポートされているDrupalコアのすべてのバージョンが影響を受ける」と述べていました。
- CVE-2026-108097：Drupalコア本体のField UIモジュールに存在するリモートコード実行の脆弱性。攻撃者が影響を受けるサーバー上で任意のコードを実行できる恐れがあります。
- CVE-2026-108099：Viewsを使わずにエンティティリストを作成するコントリビュートモジュール「Entity List」の脆弱性。リモートコード実行につながる恐れがあります。
CVE-2026-108097のセキュリティ勧告によると、この脆弱性はDrupalコアだけでは悪用できません。ただし、コントリビュートモジュールを介して複数の攻撃経路が成立し、そのうち少なくとも1つは認証が不要です。
さらに、独自開発のカスタムコードが脆弱な機能を露出させる場合もあります。
CVE-2026-108099の悪用が成立する条件も同様で、コントリビュートモジュールやカスタムコードとの連携が必要です。認証不要の攻撃経路も、少なくとも1つ確認されています。
管理者は、リリースブランチに応じてDrupalコアをバージョン10.6.19、11.3.19、または11.4.10に更新するとともに、Entity Listを3.0.10に更新するよう求められています。
開発元は「Drupal 10.6.xより前のすべてのバージョン、およびDrupal 11の11.3.xより前のすべてのバージョンはサポートが終了しており、今後サポートされません」と述べています。
この脆弱性は、beta2より前のDrupal 12プレリリース版にも影響します。ただし、これらは本番環境での使用を想定していません。安定版の12.0では、両方の脆弱性への修正が含まれる予定です。
安全なバージョンへアップグレードできない管理者は、有効な緩和策として、DrupalコアのField UIモジュール（field_ui）をアンインストールするよう推奨されています。
また、Drupal Stewardは既知の攻撃経路の一部を防ぎますが、考えられるすべてのエクスプロイトをカバーするわけではありません。
