Drupal の脆弱性 CVE-2026-108097／108099 が FIX：Core と Entity List の RCE

Drupal patches critical RCE flaws, warns exploits may emerge soon

2026/10/17 BleepingComputer — Drupal に存在する、2 件のリモート・コード実行 (RCE) の脆弱性が修正された。このオープンソース CMS の問題は、Drupal コアの Field UI と、追加モジュールの Entity List に存在する。それぞれの脆弱性は、CVE-2026-108097 と CVE-2026-108099 として識別されており、特定の追加モジュールやカスタム・コードとの組み合わせによって、認証なしで悪用できる攻撃経路を生み出すという。

Drupal セキュリティ・チームは、脆弱性の公開から数時間から数日以内に攻撃コードが開発される可能性があると警告し、管理者に対して速やかなセキュリティ・アップデートを呼びかけている。

修正済みバージョンは、Drupal コアの 10.6.19／11.3.19／11.4.10 および Entity List の 3.0.10 となる。

Drupal の深刻な脆弱性 CVE-2026-108097／108099

Drupal は、Webサイトの構築やコンテンツ管理に使用される無料のオープンソース CMS である。政府機関／大学／非営利団体などでも広く利用されており、Drupal プロジェクトの Web サイトによると、100万以上の Web サイトが Drupal 上で稼働している。

今回公表された 2件の脆弱性は、Drupal のコア機能と追加モジュールに存在する。

CVE ID影響を受けるコンポーネント想定される影響
CVE-2026-108097Drupal CoreのField UIモジュールリモート・コード実行
CVE-2026-108099追加モジュールのEntity Listリモート・コード実行

Drupal プロジェクトは、現在サポートされている Drupal コアの全バージョンが、今回の Field UI に関する問題の影響を受けると説明している。

ただし、Drupal コア単体への攻撃で、この脆弱性を悪用できるわけではない。実際の攻撃には、追加モジュールやカスタム・コードとの組み合わせが必要となる。

CVE-2026-108097：Drupal Core の Field UI モジュールの RCE脆弱性

脆弱性 CVE-2026-108097 は、Drupal コアに含まれる Field UI モジュールの欠陥である。この Field UI は、Drupal のフィールド構成を管理するための機能を提供する。この脆弱性の悪用に成功した攻撃者は、影響を受けるサーバ上で任意のコード実行を引き起こす可能性がある。

Drupal のセキュリティ・アドバイザリによると、Drupal コアを攻撃するだけでは、CVE-2026-108097 を悪用できない。しかし、追加モジュールが、脆弱な機能へのアクセス経路を提供する場合には攻撃が成立する可能性がある。

Drupal は、こうした悪用経路が複数存在することを確認しており、少なくとも 1つは認証を必要としないという。また、Web サイト独自のカスタム・コードが、脆弱な機能を外部から利用できる状態にしている可能性もある。

そのため、Drupal コアを標準構成で使用しているかどうかだけでなく、導入している追加モジュールやカスタム・コードとの組み合わせも重要となる。

CVE-2026-108099：Entity List モジュールにも RCE の脆弱性

2件目の脆弱性 CVE-2026-108099 は、Drupal の追加モジュール Entity List に存在する欠陥である。Entity List は、Drupal の Views 機能を使用せずにエンティティの一覧を作成するためのモジュールである。

この脆弱性についても、悪用に成功した攻撃者が、サーバ上で任意のコード実行を引き起こす可能性がある。

Drupal によると、CVE-2026-108099 の悪用には、追加モジュールやカスタム・コードとの特定の相互作用が必要になる。ただし、こちらも認証なしで悪用できる、既知の攻撃経路が少なくとも 1つ存在するという。

そのため、Entity List を導入している Web サイトでは、モジュールのバージョンと関連するコードの構成を確認する必要がある。

今回の問題は、管理者アカウントを持つ攻撃者だけを想定したものではなく、条件が整った環境では、未認証の攻撃者によるリモート・コード実行につながる可能性がある。

Drupal セキュリティ・チームが事前警告：数時間で攻撃コード開発の恐れ

すでに Drupal プロジェクトは、今回の脆弱性の詳細を公開する前から、管理者向けに事前警告を発表していた。

同社のセキュリティ・チームは、脆弱性が公開された後の、数時間から数日のうちに攻撃コードが開発される可能性があると指摘している。管理者に求められるのは、セキュリティ・アップデートを適用するための作業時間の確保である。

また、10月14日のセキュリティ更新に備え、利用中の Drupal のバージョンを、最新のサポート対象バージョンへと、あらかじめ更新しておくことも推奨されていた。これにより、セキュリティ修正の適用時に発生し得る互換性の問題やアップグレード上の問題を、事前に解消できるとしている。

なお、この警告は、攻撃コードが短期間で開発される可能性を示すものであり、実際の攻撃での悪用状況が判明したわけではない。

修正済みバージョンは Drupal 10.6.19／11.3.19／11.4.10

すでに Drupal は、修正済みバージョンを公開し、今回の脆弱性に対応している。管理者にとって必要なことは、利用しているリリース・ブランチに応じて、以下のバージョンへと更新することである。

製品・ブランチ修正済みバージョン
Drupal Core 10.6系10.6.19
Drupal Core 11.3系11.3.19
Drupal Core 11.4系11.4.10
Entity Listモジュール3.0.10

Drupal コアと Entity List は、それぞれ別のコンポーネントであるため、Entity List を導入している Webサイト では、Drupal コアだけでなく、この追加モジュールの更新も必要となる。

Drupal プロジェクトが明らかにしているのは、以下のバージョンがすでにサポート終了 (EOL) となっていることである。

  • Drupal 10.6 系以下のバージョン
  • Drupal 11.3 系以下の Drupal 11

これらのバージョンはサポート対象外となっているため、管理者はサポートされているリリースへの移行を検討する必要がある。

今回の 2件の脆弱性は、Drupal 12 のプレリリース版にも影響する。具体的には、Drupal 12 beta2 以下のプレリリース版が対象となる。これらの開発途中のバージョンは、本番環境での使用を想定していない。

Drupal によると、最終的な安定版となる Drupal 12.0 には、今回の2件の脆弱性に対する修正が含まれる予定だ。

アップデートできない場合は Field UI モジュールの削除を推奨

修正済みバージョンへと、速やかに更新できない管理者に対して、Drupal は代替の緩和策も案内している。

具体的には、Drupal コアに含まれる Field UI モジュールを、アンインストールする方法である。対象となるモジュールのマシン名は以下のとおりである。

field_ui

このモジュールをアンインストールすることが、Field UI に関する脆弱性への有効な緩和策になると、Drupal は説明している。ただし、これは Drupal コアの Field UI に関する問題への対策であり、Entity List 側の脆弱性まで修正するものではない。

Entity List を使用し続ける場合には、別途 3.0.10 への更新が必要となる。また、Field UI のアンインストールにより、管理機能への影響が生じる可能性があるため、運用環境の構成を確認した上で対応する必要がある。

Drupal Steward による保護は一部の攻撃経路に限定

Drupal は、セキュリティ保護サービス Drupal Steward についても言及している。Drupal Steward により、今回の脆弱性に関連する攻撃経路の一部が防御されるというが、すべての悪用方法が阻止されるわけではない。

そのため、Drupal Steward を利用している場合であっても、修正済みバージョンへの更新を省略することは推奨されない。追加的な防御機能によりリスクは軽減されるが、脆弱性そのものを解消するには、適切なセキュリティ・アップデートが必要となる。

Drupal 管理者が優先すべきセキュリティ対策

今回の 2件の脆弱性を悪用する攻撃者は、条件が整った環境において、認証不要のリモート・コード実行を引き起こす可能性がある。

Drupal を運用する組織は、以下の対応を優先する必要がある。

  1. Drupal コアを修正済みバージョンへ更新する：利用中のブランチに応じて、10.6.19／11.3.19／11.4.10 を適用する。
  2. Entity List を 3.0.10 へ更新する：Entity List モジュールを導入している場合は、モジュール側のセキュリティ修正も適用する。
  3. 追加モジュールとカスタム・コードを確認する：Field UI や Entity List の脆弱な機能が、外部から悪用され得る経路を確認する。
  4. サポート終了バージョンから移行する：Drupal 10.6系以前／Drupal 11.3系以前のサポート対象外バージョンを使用している場合には、サポートされているリリースへ移行する。
  5. アップデートできない場合は緩和策を検討する：Field UI モジュール (field_ui) のアンインストールを検討する。ただし、Entity List の脆弱性には、別途の対応が必要となる。
  6. Drupal Steward だけに依存しない：一部の攻撃経路が防御されていても、すべての悪用方法を防げるわけではないため、セキュリティ・パッチの適用を優先する。
認証不要の RCE につながる構成に注意

今回の Drupal の脆弱性は、Drupal コアの Field UI と、追加モジュールの Entity List という別々のコンポーネントに存在する。どちらのケースにおいても、特定の追加モジュールやカスタム・コードとの組み合わせに応じて、認証なしで悪用できる攻撃経路が確認されている。

Drupal セキュリティ・チームは、脆弱性の公開後の数時間から数日以内に攻撃コードが開発される可能性を警告しており、迅速な対応を求めている。修正済みバージョンは、Drupal コアの 10.6.19／11.3.19／11.4.10 および Entity List の 3.0.10 である。

Drupal を運用する管理者にとって必要なことは、コアと追加モジュールの両方について更新状況を確認し、必要な修正を速やかに適用することである。

この記事は、CMS ソフトウェアである Drupal の基本機能および拡張モジュールにおける不具合について解説するものです。管理機能や一覧表示機能における不適切な処理が背景に存在します。影響として、未認証の第三者による遠隔からの不正コマンド実行が生じる恐れがあります。対応策として、本体および対象モジュールの修正済みプログラムへの速やかな更新／不要な管理機能の停止が求められます。