【セキュリティアドバイザリー】Drupal core - Gadget Chain（SA-CORE-2026-002）

アドバイザリーID: SA-CORE-2026-002

プロジェクト: Drupal core
日付: 2026 年 4 月 15 日
セキュリティーリスク：Moderately critical 14∕25 AC:Complex/A:Admin/CI:All/II:All/E:Theoretical/TD:Uncommon
脆弱性：Gadget Chain
影響を受けるバージョン：>= 8.0.0 < 10.5.9 || >= 10.6.0 < 10.6.7 || >= 11.0.0 < 11.2.11 || >= 11.3.0 < 11.3.7

詳細

Drupal core には、サイトに安全でないデシリアライゼーション（逆シリアル化）の脆弱性が存在する場合に悪用される可能性のある一連のメソッドが含まれています。このいわゆる「ガジェットチェーン」は直接的な脅威ではありませんが、別の脆弱性により信頼できないデータをアプリケーションがデシリアライズする場合に、リモートコード実行や SQL インジェクションを実現するために使用できるベクターです。

この問題は直接悪用できるものではありません。

この問題は、悪用可能となるためには、攻撃者が unserialize() に安全でない入力を渡すことを可能にする別の脆弱性が存在する必要があるという事実によって緩和されています。Drupal core にはそのような既知の脆弱性は存在しません。

解決法

最新バージョンをインストールしてください：

• Drupal 10.5.x をご使用の場合は、Drupal 10.5.9 にアップデートしてください。
• Drupal 10.6.x をご使用の場合は、Drupal 10.6.7 にアップデートしてください。
• Drupal 11.2.x をご使用の場合は、Drupal 11.2.11 にアップデートしてください。
• Drupal 11.3.x をご使用の場合は、Drupal 11.3.7 にアップデートしてください。

Drupal 11.1.x、Drupal 11.0.x、Drupal 10.4.x 以前はサポート終了（end-of-life）となっており、セキュリティサポートの対象外です。（Drupal 8 および Drupal 9 はどちらもサポート終了となっています。）

本文は Drupal.org Security Advisory 「SA-CORE-2026-002」(CC BY-SA 2.0) を翻訳したものです。
原文: https://www.drupal.org/sa-core-2026-002