Critical Drupal Vulnerability Could Leave Sites Open to Cyberattack
2026/05/21 gbhackers — Drupal Security Team は、Drupal コアに影響を及ぼす、きわめて深刻な脆弱性について警告を発表した。そのためのセキュリティ・リリースは、2026年5月20日 (PSA-2026-05-18) で行われている。この脆弱性の深刻度は、同社の基準で 20/25 (Highly Critical) と評価されており、公開後に攻撃者に悪用されると、機密性／完全性／可用性に大きなリスクが生じる可能性がある。
すでにセキュリティ・アップデートは、5月20日に公開されているため、管理者に対して求められるのは、即時のパッチ適用となる。
リスクおよび悪用の懸念
Drupal Security Team が警告するのは、この情報公開から数時間〜数日以内に、エクスプロイト・コードが開発される可能性である。それが意味するのは、Drupal ベースの Web サイトを運用する組織にとって、きわめて短い対応時間のみが残されているという状況である。
主なリスク指標は、以下の通りである。
攻撃複雑性：なし
影響：機密性／完全性の完全侵害
エクスプロイト状況：理論的にみて急速に実用化する可能性
技術詳細：公開まで非開示
すべての Drupal コンフィグが影響を受けるわけではないが、公開後における迅速な影響評価が必要である。
影響を受けるバージョン
以下に示すサポート対象 Drupal コアブランチに対して、セキュリティ・アップデートが提供される。
Drupal 11.3.x
Drupal 11.2.x
Drupal 10.6.x
Drupal 10.5.x
この脆弱性の深刻度の高さを考慮し、旧バージョンにも限定的なサポートが提供される。
Drupal 11.1.x (11.1.9 へ更新)
Drupal 10.4.x (10.4.9 へ更新)
サポート終了バージョンについて：
Drupal 9.5／8.9：パッチファイルのみ提供
Drupal 7：影響なし
ただし、これらのパッチは完全な解決を保証するものではなく、不安定性を引き起こす可能性がある。
緩和策および事前準備
管理者は以下の対策を実施すべきである。
- 現行ブランチ内で最新パッチ・バージョンへ更新
- 5月20日にメンテナンス時間を確保して速やかにパッチを適用
- 公式 Drupal セキュリティ・チャネルの監視
- バックアップおよびロールバックの手順を事前に検証
Drupal Steward を利用している組織は、すでに攻撃ベクターに対して保護されているが、リリース後のアップデート適用は必須である。
想定される攻撃シナリオ
典型的なケースとして挙げられるのは、この脆弱性を悪用する未認証の攻撃者が、Drupal サイトの管理者権限を取得する可能性である。
その結果として、以下が発生し得る。
- データ窃取
- Web サイト改竄
- マルウェア挿入
たとえば、政府機関やエンタープライズのポータルが侵害された場合において、数時間以内に機密性の高いユーザー・データが漏洩するリスクがある。
詳細の公開
この脆弱性の詳細は、2026年5月20日の時点で、公式チャネルを通じて公開されている。
- Drupal Security Advisory ページ
- X／Mastodon／LinkedIn 等のソーシャルメディア
- メール通知 (購読者向け)
訳者後書：Drupal コアに存在する脆弱性は、外部の第三者が認証を経ずに Web サイトの管理者権限を奪取できてしまう仕組みの不備に起因します。それにより、システムの機密性や完全性の完全な破壊に至る恐れがあります。 このように、設計上の重大な欠陥が残されていたことにより、悪意のあるリクエストを一度送られるだけでデータの窃取や改竄が引き起こされる状態になっています。 攻撃において、複雑な処理は必要とされず、短時間で悪用コードが作られてしまう点が大きな問題です。ご利用のチームは、ご注意ください。
IoT OT Security News 
You must be logged in to post a comment.