Drupal Core のリモートコード実行の脆弱性（CVE-2018-7602）

何が起きた

Web サイトを作るためのソフト Drupal の本体（Core）の複数の部分に、攻撃者が任意の（攻撃者が好きに選べる）プログラムを実行できる弱点が見つかり、サイトが乗っ取られるおそれがあります。Drupal によると、この弱点は SA-CORE-2018-002 に関係しており、両方とも実際の攻撃で悪用されています。NVD の評価ではネットワーク経由でログインなしに悪用できるとされていますが、Drupal の危険度の評価（A:User）では、利用者のアカウントが必要とされています。ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Drupal 7.x と 8.x で作られた Web サイトの運営者が影響を受けます。Drupal によると、7.0 以上 7.59 未満、8.0.0 以上 8.4.8 未満、8.5.0 以上 8.5.3 未満が対象です。なお Drupal 8 は 2021年11月17日に、Drupal 7 は 2025年1月5日にサポートが終わっています。

何をすればいい

Drupal は当時、7.x は 7.59 に、8.5.x は 8.5.3 に、8.4.x は 8.4.8 に更新するよう案内していました。ただし Drupal 7 と Drupal 8 はどちらもサポートが終わっているため、今も使っている場合は、サポートが続いている新しい Drupal へ移ることを検討してください。Drupal によると、修正用のパッチは SA-CORE-2018-002 の修正が入っているサイトでしか効かず、その修正がないサイトはすでに侵入されているおそれがあります。メーカーの公式の案内も確認してください。

やることチェックリスト

• Drupal 7 は 7.59 以降か確認する
• Drupal 8.5.x は 8.5.3 以降に更新する
• サポート中の新しい Drupal へ移る

用語メモ

Core

Drupal の本体部分のことです。追加機能（モジュール）とは別に、すべてのサイトが使う土台です。

パッチ

ソフトの弱点や不具合を直すために配られる修正のことです。

サポート

メーカーが修正や更新を配り続ける期間のことです。終わると新しい弱点が見つかっても直されません。