Drupalが重大なRCE脆弱性を警告、未認証の攻撃者によるサイト侵害の恐れ

Drupalは、攻撃者がログインなしで該当サイトを乗っ取れる可能性がある、重大なリモートコード実行(RCE)の脆弱性について警告しました。

脆弱性診断サービス

この脆弱性は「CVE-2026-108097」として追跡されており、Drupalコアの Field UI モジュールに影響します。2026年10月14日に公開されたセキュリティ勧告では、セキュリティリスクスコアが25点満点中19点と評価されました。

重要なのは、Drupalコア単体では、この脆弱性を直接悪用する経路がない点です。ただし、コントリビュートモジュールを経由すると深刻な攻撃経路がいくつも生まれ、少なくとも1つの既知の経路は認証を必要としません。

カスタムコードによって、脆弱な機能が露出する場合もあります。そのため、リスクを評価する際は各サイトの構成を確認することが重要です。Drupalの研究者が特定したのはソフトウェアの脆弱性であり、マルウェアキャンペーンではありません。

勧告によると、この問題はDrupalセキュリティチームのメンバーであるDrew Webber氏と、研究者のOctavio Galland氏が報告しました。Drupalは公式セキュリティ勧告の中で、マルウェアファミリーや攻撃者の名前を挙げておらず、攻撃が確認されたとも報告していません。

Drupalが重大なRCE脆弱性を警告

リモートコード実行とは、攻撃者が脆弱なシステム上で、遠隔からコードを実行できる状態を指します。今回のリスクは、導入済みのモジュールやカスタムコードが、影響を受ける Field UI の機能を露出させているかどうかで変わります。

勧告には、関与するコントリビュートモジュールの名称や、実際に動作するエクスプロイトは掲載されていません。問題を引き起こすために必要な具体的なリクエストの内容も明らかにされていません。

この違いは重要です。影響を受けるバージョンのDrupalを使っているだけで、匿名の訪問者がサイトを攻撃できるとは限りません。一方で、ログインが必要だから安全だと考えるべきでもありません。

過去に報じられたDrupalの重大なセキュリティ警告からも、深刻度という大まかな指標だけに頼らず、サイトごとの構成を評価する必要があることが分かります。

Drupalはリスク評価で、エクスプロイトの状況を「理論上(theoretical)」としています。ただし、この表現を「無害な脆弱性」という意味に受け取ってはいけません。同じ勧告には、複数の深刻な攻撃経路と、未認証で成立する経路が記載されています。

悪用が実際に確認されたことを示す公的な証拠はありません。そのため、報道では起こり得る影響と、確認済みのインシデントを区別する必要があります。リスクスコアでは、攻撃の複雑さが「基本的(basic)」、認証が「不要」とされ、機密性と完全性への影響は「全面的」と評価されています。

平易に言えば、攻撃が成功するとサイトのデータが漏えいしたり、改ざんされたりする恐れがあるということです。これらの評価は、公開状態にあるインストール環境で想定される深刻度を示すものです。影響を受けるすべてのサイトに、現時点で外部からアクセス可能な攻撃経路があることを意味するわけではありません。

影響を受けるバージョンとセキュリティアップデート

影響を受けるのは、Drupal 8.9.0以降10.6.19未満、11.0.0以降11.3.19未満、11.4.0以降11.4.10未満の各バージョンです。

勧告は、12.0.0-alpha1以降12.0.0-beta2未満のDrupal 12のビルドも影響範囲に挙げています。ただし、対処方法の項目でアップグレード手順が示されているのは、Drupal 10とDrupal 11のみです。

Drupal 10.6.xを使用している管理者は10.6.19を、11.3.xの場合は11.3.19を、11.4.xの場合は11.4.10をそれぞれインストールしてください。これらは勧告で示された修正版であり、すべての環境で互換的に使える更新先ではありません。

勧告のサポート方針では、Drupal 10.5.x以前、Drupal 11.2.x以前、Drupal 8および9は、セキュリティ対応の対象外とされています。

サイバーセキュリティツール

過去のDrupalのセキュリティアップデートに関する報道からも、修正は影響を受けるコンポーネントやブランチに合致したものでなければならないことが分かります。古いアップデートでは、今回新たに公表された脆弱性には対処できません。

Drupalによると、アップデートを適用するまでの緩和策として、コアの Field UI モジュール(field_ui)のアンインストールが有効です。勧告は、モジュールを「アンインストールする」ことを明確に求めています。

インターフェースを非表示にしたり、メニューへのアクセスを制限したりしても、同等の保護にはなりません。いずれも勧告が示す回避策ではないためです。

Drupal Stewardは、すでに一部の既知の攻撃経路から契約者を保護しています。ただしDrupalは、この保護がすべての攻撃手法を網羅するわけではないと警告しています。新たな攻撃経路が見つかる可能性があるため、同サービスを利用しているサイトもアップグレードが必要です。

起こり得る影響には注意が必要ですが、証拠を超えて誇張すべきではありません。過去には、Drupal製サイトのランサムウェア被害として、ウクライナのエネルギー省のウェブサイトに対する悪用の疑いが報じられました。

この別事例は、サイト侵害がもたらす影響の大きさを理解する手がかりになります。しかし、CVE-2026-108097によってランサムウェアが配布されたことや、特定の組織に対して悪用されたことを示す証拠ではありません。

侵害の痕跡(IoC):-

注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(例: [.])しています。元の形式に戻す作業は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

1万6,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。 チームでの導入を検討する