Drupal、深刻な脆弱性2件に修正パッチを公開

Drupalは、CMSのサポート対象バージョンでリモートコード実行を可能にする2件の深刻な脆弱性を修正するパッチを公開した。BleepingComputerが伝えている。脆弱性はDrupalコアのField UIモジュールと、コミュニティ提供のEntity Listモジュールに影響する。

CVE-2026-108097はコアのField UIモジュールにおけるリモートコード実行の欠陥で、CVE-2026-108099はEntity Listモジュールの同種の欠陥である。CVE-2026-108097のアドバイザリによると、この脆弱性はDrupalコア単体では悪用できないが、寄与モジュールが悪用経路を提供する可能性があり、少なくとも1つは認証を必要としない経路が存在する。CVE-2026-108099の悪用にも同様に寄与モジュールやカスタムコードとの組み合わせが必要で、既知の未認証経路が少なくとも1つある。

管理者はブランチに応じてDrupalコアを10.6.19、11.3.19、11.4.10のいずれかに更新し、Entity Listを3.0.10に更新するよう求められている。Drupal 12のベータ2より前のプレリリースも影響を受けており、安定版12.0には両方の修正が含まれる予定だ。

アップグレードできない場合の緩和策として、コアのField UIモジュール（field_ui）をアンインストールすることが推奨されている。Drupal Stewardは一部の既知の攻撃経路を防ぐが、すべての悪用を防ぐものではないという。

事前警告と背景

週の初めにDrupalは、悪用が数時間から数日で開発される可能性があるとして、管理者に速やかな更新を促す事前警告を発していた。また、セキュリティ対応の時間帯に入る前にアップグレードの問題を解消するため、10月14日までに最新のサポート対象バグフィックス版へ更新することを推奨していた。プロジェクトは今週初め、現在サポートされているすべてのDrupalコアバージョンが影響を受けると明らかにしている。プロジェクトのウェブサイトによると、100万以上のウェブサイトがDrupalで稼働している。10.6.xより前のすべてのバージョンと11.3.xより前のすべてのDrupal 11バージョンはサポート終了となっている。