「Drupal」に深刻なSQLi脆弱性 - 影響ない環境も更新を強く推奨

コンテンツマネジメントシステム「Drupal」のコア部分においてSQLインジェクションの脆弱性が判明した。大きな影響を及ぼすおそれがあり、注意を呼びかけている。

「Drupal」のセキュリティチームは、現地時間2026年5月20日にセキュリティアドバイザリを公開。細工したリクエストによりSQLインジェクションが可能となる脆弱性「CVE-2026-9082」について明らかにした。

同脆弱性は、データベースに対して実行されるクエリをサニタイズし、SQLインジェクション攻撃を防ぐためのデータベース抽象化APIに確認された。「PostgreSQL」を利用している環境が影響を受けるという。

認証なしに悪用されるおそれがあり、情報漏洩にくわえて、環境によっては権限昇格やリモートからのコード実行など、大きな影響を及ぼすおそれがある。

重要度を5段階中もっとも高い「高クリティカル（Highly Critical）」とレーティングしている。

（Security NEXT - 2026/05/21 ）ツイート