Drupalコアに深刻な脆弱性、認証不要で遠隔コード実行の恐れ――寄与モジュール経由で悪用可能、修正版公開

要点

• Drupalコアの管理機能「Field UI」に、サーバー上で任意のコードを実行される深刻な脆弱性（CVE-2026-108097）が判明した。

• コア単体では悪用できないが、寄与モジュールを経由することでログイン不要で悪用できる経路が確認されている。

• 10月14日に修正版が公開され、即時の更新か一時的なモジュール無効化が呼びかけられている。

• 調査対象サイトの28.5%がサポート終了済みの旧版を使っており、修正が届かない実態も浮き彫りとなった。

• コンテンツ管理システム（CMS）「Drupal」のコア機能に、サーバー上で不正なプログラムを実行される恐れのある深刻な脆弱性が存在することが明らかになった。Drupalセキュリティチームは2026年10月14日にアドバイザリを公表し、セキュリティパッチをリリースした。コア単体では直接悪用されないものの、拡張機能を経由することでログイン認証なしに遠隔攻撃できる経路が確認されている。

脆弱性の概要とリスク評価

公表された脆弱性は「CVE-2026-108097」として追跡されている。影響を受けるのは、管理画面でコンテンツのフィールド構造や表示形式を管理するコア機能「Field UI」モジュールだ。Drupal独自のリスク評価基準（25点満点）では19点と判定され、最も深刻度が高い「クリティカル」に分類された。報告者としてDrew Webber氏とOctavio Galland氏がクレジットされている。

セキュリティチームによると、コア単体では本欠陥を悪用できないという。しかし、コミュニティが提供する寄与モジュール（有志が開発・公開している拡張機能）を経由した攻撃経路が複数存在し、少なくとも1つはログイン認証を必要としない。アドバイザリでは具体的なモジュール名は公表されておらず、独自開発のカスタムコードでも同様のリスクが生じる可能性があると説明されている。

レンダリング処理の不備と技術的修正

問題の原因は、管理画面のテーブル要素を生成する処理にあった。Field UIでは、HTMLへ変換されるPHPの配列データ「レンダー配列」を用いてテーブルを構築している。修正前の実装では、テーブルの描画前処理（pre-render）ステップにおいて、各行の「#region_callback」プロパティに指定された関数（コールバック）が事前の検証なしに「call_user_func_array」で実行されていた。

Drupalの描画システムは2019年のバージョン8.8以降、信頼できない関数の実行を拒否する仕様となっていたが、テーブル要素自身のメソッドは安全と見なされたため、内部で呼び出される関数の検査がすり抜けられていたという。この不備は2020年のバージョン8.9.0から残存していたとされる。

修正版では該当のコールバック呼び出し自体が削除され、行データから直接領域を読み取る仕様に変更された。ホスティング大手のPantheonなどは、行データに「#region_callback」を設定しているカスタムコードがないか確認し、更新後に管理画面の表示テストを実施するよう利用者に案内している。

提供されたパッチと暫定的な回避策

案内されている修正済みバージョンは、Drupal 11.4.10、11.3.19、10.6.19、および開発版の12.0.0-beta2（本番環境非推奨）だ。一方で、Drupal 11.2以下や10.5以下、Drupal 8や9などのサポート終了（EOL）バージョンには修正が提供されない。なお、11.3系列と10.6系列も2026年12月にはサポート終了を迎える予定となっている。

即座に更新できない環境に向けては、暫定的な緩和策としてField UIモジュール（field_ui）のアンインストールが推奨されている。無効化中はフィールド管理画面が利用できなくなるものの、更新完了までの保護手段になるという。同モジュールは標準構成で導入されているため多くのサイトで有効になっている点に注意が必要だ。

また、WAF（Webアプリケーションファイアウォール）サービス「Drupal Steward」でも既知の攻撃経路の一部が遮断されるが、すべてを網羅できるわけではないため、依然として修正版への更新が求められている。

多数のサイトが未修正のまま、警戒強まる

公開時点で公の悪用コード（PoC）は存在せず、実際の攻撃被害も報告されていない。しかし、セキュリティチームは公開2日前の10月12日に事前通知を発行し、「数時間から数日以内に悪用手法が開発される恐れがある」として作業時間の確保を呼びかけていた。2026年5月のSQLインジェクション脆弱性では、公開から2日以内に攻撃試行が検知され、米CISAの悪用カタログに追加された経緯がある。

懸念されるのは旧バージョンの利用実態だ。10月4日週の統計では、drupal.orgにバージョンを報告した531,499サイトのうち、28.5%にあたる151,442サイトがサポート終了済みの対象バージョンを使用していた。

なお、関連する寄与モジュール「Entity List」でも同様の未認証リモートコード実行の脆弱性（CVE-2026-108099）が報告され、バージョン3.0.10で修正が行われている。