Drupalは5件の脆弱性に対するパッチを公開しました。このうち2件は、リモートコード実行(RCE)に悪用される恐れのある深刻度「重大」のバグです。
1件目は、Viewsを使わずにエンティティのリストを作成できる「Entity List」モジュールに存在し、CVE-2026-108099として管理されています。このモジュール単体では悪用できませんが、他のコントリビュートモジュールと組み合わせた攻撃経路が存在します。
Drupalは「少なくとも1つの既知の攻撃経路では、認証が不要です。カスタムコードが脆弱な機能を公開している場合もあります」と説明しています。
2件目はDrupalコアの「Field UI」モジュールに影響し、CVE-2026-108097として管理されています。
こちらもDrupalコア単体では悪用できませんが、コントリビュートモジュールを介した深刻な攻撃経路があり、少なくとも1つは認証を必要としません。緩和策として、コアのField UIモジュールをアンインストールできます。
これらに対処するため、Entity Listはバージョン3.0.10に、Drupalはバージョン11.4.10、11.3.19、10.6.19のいずれかに更新するよう推奨されています。それ以前のDrupalリリースはすでにサポート終了(EOL)となっており、セキュリティ更新は提供されません。
今回のDrupal更新では、コアのLinkモジュールのクロスサイトスクリプティング(XSS)の脆弱性(まとめてCVE-2026-108515として管理)と、NavigationモジュールのXSSの脆弱性(CVE-2026-108514)も修正されました。
さらにDrupalは、管理用テーマ「Gin」に存在し、XSS攻撃につながる恐れのあるセキュリティ上の不具合に対するパッチも発表しました。このバグはGinのバージョン5.0.16と4.1.4で修正されています。
Drupalは、これらの脆弱性が実際に悪用されているとは明らかにしていません。ただし10月12日には、コアの更新作業に備えて時間を確保するようユーザーに呼びかけ、「数時間から数日のうちに攻撃コードが開発される可能性があります」と警告していました。
詳しくは、Drupalのセキュリティ勧告ページをご覧ください。
翻訳元: https://www.securityweek.com/drupal-warns-of-fast-exploitation-risk-for-critical-core-rce-flaw/
