「Drupal」に脆弱性 - 拡張モジュールとの組み合わせで深刻な影響も

コンテンツマネジメントシステムである「Drupal」に脆弱性が判明した。拡張モジュールとの組み合わせによっては深刻な影響をもたらすおそれがあるとし、開発チームではアップデートを呼びかけている。

2026年10月14日付でアドバイザリを公開し、コアに含まれる「Field UI」モジュールに起因する脆弱性「CVE-2026-108097」について明らかにしたもの。リモートよりコードを実行されるおそれがある。

コア単体では直接悪用できないとされる一方、拡張モジュールを利用した複数の攻撃経路が存在するとしており、認証を必要とせずに悪用できるケースも確認されている。

独自のリスク評価で「25点中19点」、重要度を5段階中、2番目に高い「クリティカル（Critical）」とした。

開発チームでは、脆弱性へ対応した「Drupal 11.4.10」「同11.3.19」「同10.6.19」をリリースしており、アップデートを呼びかけている。また更新までの緩和策として、コアの「Field UI」モジュールをアンインストールする方法を案内している。

（Security NEXT - 2026/10/15 ）ツイート