Drupal core の SQL インジェクション（権限昇格・RCE の可能性）

Critical（CVSS 9.8）に分類されるDrupal Drupal coreの脆弱性です。Drupal core のデータベース抽象化 API に SQL インジェクションの脆弱性。SQL 特殊要素の不適切な無害化により、権限昇格やリモートコード実行につながり得る。影響範囲は 8.9.0〜10.4.10未満 / 10.5.0〜10.5.10未満 / 10.6.0〜10.6.9未満 / 11.0.0〜11.1.10未満 / 11.2.0〜11.2.12未満 / 11.3.0〜11.3.10未満。CISA KEV に登録され実際の悪用が確認されている。 ベンダーのアドバイザリ SA-CORE-2026-004 を 2026年8月2日に読み直したところ、**この SQL インジェクション自体は PostgreSQL を使っているサイトにのみ影響する**と明記されていた。ただしアドバイザリは同時に、上流依存（Symfony / Twig）の協調セキュリティ更新も含んでおり、そちらは**データベースの種類にかかわらず全サイトに推奨**されている。したがって「MySQL だから無関係」と判断して更新を見送るのは誤りである。リスク評価は Highly critical（23/25）で、2026年5月22日に「実環境で悪用の試行が検出されている」ことを反映して引き上げられている。 なお Drupal 9 および 8.9 は End of Life であり、修正版のリリースではなくパッチのみの提供となる。

自サイトの Drupal core を各ブランチの修正版（10.4.10 / 10.5.10 / 10.6.9 / 11.1.10 / 11.2.12 / 11.3.10 以降）へ更新するのが基本方針。Composer 運用なら composer update drupal/core-recommended -W。更新前後で DB バックアップを取得し、公開サイトは WAF ルールで既知の攻撃パターンを一時遮断する。 優先順位のつけ方が重要である。**PostgreSQL を使っているサイトが最優先**で、SQL インジェクション本体の影響を直接受ける。MySQL/MariaDB のサイトは SQLi の影響外だが、同アドバイザリに含まれる Symfony / Twig の更新は全サイトに推奨されているため、更新自体は必要である。 **Drupal 9 / 8.9 を運用している場合は別扱いになる。** これらは End of Life で修正版のリリースが無く、提供されるのはパッチのみである。パッチ適用は一時しのぎであり、サポート対象の系列（10.4 以降）への移行計画を立てるべき状況にある。 KEV の是正期限（2026年5月27日）は既に経過している。未対応のまま残っている場合は、緩和ではなく更新を最優先で実施すること。

Drupal Drupal core を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://www.drupal.org/sa-core-2026-004）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/27 です。推奨される対応: ベンダー指示に従い緩和策を適用。緩和策が無ければ製品の使用を停止（CISA KEV）。