Ryunosuke Matsuoka
DrupalCMSラボ 編集部
アドバイザリーID: SA-CORE-2026-004
プロジェクト: Drupal core
日付: 2026 年 5 月 20 日
セキュリティーリスク：Highly critical
20∕25 AC:None/A:None/CI:All/II:All/E:Theoretical/TD:Uncommon
脆弱性：SQL injection
CVE ID：CVE-2026-9082
影響を受けるバージョン：>= 8.9.0 < 10.4.10 || >= 10.5.0 < 10.5.10 || >= 10.6.0 < 10.6.9 || >= 11.0.0 < 11.1.10 || >= 11.2.0 < 11.2.12 || >= 11.3.0 < 11.3.10
詳細
Drupal core には、データベースに対して実行されるクエリをサニタイズし、SQL インジェクション攻撃を防ぐためのデータベース抽象化 API が含まれています。
この API に存在する脆弱性により、攻撃者は特別に細工されたリクエストを送信することで、PostgreSQL データベースを使用するサイトに対して任意の SQL インジェクションを実行できてしまいます。これにより、情報漏洩、場合によっては権限昇格、リモートコード実行、またはその他の攻撃につながる可能性があります。
この脆弱性は匿名ユーザーによって悪用される可能性があります。
本 SQL インジェクションの脆弱性は PostgreSQL を使用するサイトにのみ影響します。ただし、本リリースに含まれるサードパーティ依存関係のアップデートはすべてのサイトに適用されます。
アップストリームのセキュリティアドバイザリー
本アドバイザリーのサポートされているブランチ（11.3、11.2、10.6、10.5）向け Drupal リリースには、Symfony および Twig のセキュリティアップデートも含まれています。これらのプロジェクトは本 Drupal リリースと連携して重要なセキュリティアドバイザリーを公開しており、Drupal は一部の脆弱性の影響を受けます。
サイト構成やコントリビュートモジュールによっては、これらのアップストリームの問題に対して脆弱である可能性があります。そのため、SQL インジェクションの脆弱性の影響を受けるか否かにかかわらず、これらの依存関係のアップデートを強く推奨します。また、Views やコントリビュートモジュールなどを通じて、Twig テンプレートを更新できるユーザーロールを確認することも推奨します。
解決法
最新バージョンをインストールしてください。
Drupal 11
- Drupal 11.3.x をご利用の場合は、Drupal 11.3.10 にアップデートしてください。
- Drupal 11.2.x をご利用の場合は、Drupal 11.2.12 にアップデートしてください。
- Drupal 11.1.x または 11.0.x をご利用の場合は、Drupal 11.1.10 にアップデートしてください。
Drupal 10
- Drupal 10.6.x をご利用の場合は、Drupal 10.6.9 にアップデートしてください。
- Drupal 10.5.x をご利用の場合は、Drupal 10.5.10 にアップデートしてください。
- Drupal 10.4.x 以前をご利用の場合は、Drupal 10.4.10 にアップデートしてください。
Drupal 9 および 8
- Drupal 9 系をご利用の場合は、Drupal 9.5 向けパッチを手動で適用してください。
- Drupal 8.9 をご利用の場合は、Drupal 8.9 向けパッチを手動で適用してください。
Drupal 11.1.x、Drupal 11.0.x、Drupal 10.4.x 以前はサポートが終了しており、セキュリティサポートの対象外です（Drupal 8 および Drupal 9 もサポート終了済みです）。本問題の深刻度を考慮し、サポートされていないバージョン向けのリリースおよびパッチがベストエフォートとして提供されますが、これらのバージョンには他の既知のセキュリティ脆弱性が引き続き存在することにご注意ください。
本文は Drupal.org Security Advisory 「SA-CORE-2026-004」(CC BY-SA 2.0) を翻訳したものです。
原文: https://www.drupal.org/sa-core-2026-004
