Drupal Core のSQLインジェクションの脆弱性（CVE-2026-9082）

何が起きた

Drupal の本体（Drupal core）で、データベースを扱う仕組みに SQL インジェクションの弱点が見つかりました。細工したリクエストを送られると、情報が漏れたり、場合によっては権限の引き上げや、遠隔からのコード実行につながったりするおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できるとされています。メーカーによると、影響を受けるのは PostgreSQL のデータベースを使うサイトだけです。CISA の KEV で悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PostgreSQL を使っている Drupal のサイトが対象です。影響を受けるのは 8.9.0 から 10.4.10 より前、10.5.0 から 10.5.10 より前、10.6.0 から 10.6.9 より前、11.0.0 から 11.1.10 より前、11.2.0 から 11.2.12 より前、11.3.0 から 11.3.10 より前です。

何をすればいい

使っている系列に合わせて、11.3.10、11.2.12、11.1.10、10.6.9、10.5.10、10.4.10 以降に更新してください。Drupal 9 と 8.9 には、手作業で当てる修正が用意されています。11.1.x、11.0.x、10.4.x 以前、Drupal 9 と 8 はサポートが終わっているので、サポート中の版へ移ることも考えてください。あわせて Drupal の公式の案内を確認してください。

やることチェックリスト

• Drupal を系列ごとの修正版に更新する
• サイトのデータベースが PostgreSQL か確かめる
• サポート終了の版はサポート中の版へ移す

用語メモ

SQL インジェクション 用語集で見る

入力欄などに細工した命令を混ぜて、データベースを不正に操作する攻撃です。

PostgreSQL

データを整理してしまっておくためのデータベースのソフトの一つです。

リクエスト

ブラウザーなどが Web サーバーに送る、ページやデータを求める通信です。