CMSの「Drupal」で、コアのField UIモジュールにリモートコード実行の脆弱性（CVE-2026-108097）が見つかり、2026年10月14日（協定世界時。日本時間では15日未明）に修正版が公開されました。Drupalのセキュリティチームは重大度を5段階で上から2番目の「Critical」（25点中19点）とし、Drupal 11.4.10、11.3.19、10.6.19 への更新を求めています。コア単体では直接悪用できないものの、拡張モジュールとの組み合わせで深刻な攻撃経路があり、認証なしで悪用できる経路も少なくとも1つあるとされています。
Drupalで作ったサイトを運用・保守している制作会社や開発者は、自分の担当サイトのバージョンを確認して、早めに更新するのが基本の対応です。すぐに更新できない場合の緩和策も案内されています。
この記事の目次
SA-CORE-2026-014、Field UIにリモートコード実行の脆弱性
アドバイザリ「SA-CORE-2026-014」の概要は次のとおりです。
- 対象: Drupal core（Field UIモジュール
field_ui） - 種類: リモートコード実行（Remote code execution）
- CVE: CVE-2026-108097
- 重大度: Critical（19/25）
- 公開日: 2026年10月14日
説明によると、コアだけでは直接悪用できない一方で、複数の拡張モジュールと組み合わせた深刻な悪用経路が存在し、そのうち少なくとも1つは認証が不要です。カスタムコードが該当する機能を外から使える状態にしている可能性もあるとしています。どの拡張モジュールが該当するかは、アドバイザリには書かれていません。
リスク評価の内訳を見ると、攻撃の難しさは「Basic」、必要な認証は「None」、機密性と完全性への影響はいずれも「All」、攻撃対象になる設定の範囲は「Default」です。悪用コードの状況は「Theoretical」（理論上）とされていますが、セキュリティチームは公開前の告知で、修正版の公開後「数時間から数日」で悪用コードが作られる可能性があると警告していました。
影響を受けるバージョンと更新先
影響を受けるのは次の範囲です。
- 8.9.0 以上、10.6.19 未満
- 11.0.0 以上、11.3.19 未満
- 11.4.0 以上、11.4.10 未満
- 12.0.0-alpha1 以上、12.0.0-beta2 未満
更新先はブランチごとに分かれています。
- 11.4.x を使っている場合: 11.4.10 へ
- 11.3.x を使っている場合: 11.3.19 へ
- 10.6.x を使っている場合: 10.6.19 へ
- 12.0.0 のベータ版を使っている場合: 影響範囲は 12.0.0-beta2 未満なので、beta2 以降へ（事前告知では 12.0.0-beta1 も対象で、新しいベータを出すとされていました）
注意したいのは、サポートが終わったブランチです。アドバイザリでは、11.2.x 以下と 10.5.x 以下はサポート終了（EOL）でセキュリティ対応が無く、Drupal 8 と 9 もすでにサポート終了とされています。影響範囲が 8.9.0 からと広いため、古い版のまま動いているサイトは、修正版が出ていない状態に置かれていることになります。
10月12日の事前告知から2日で公開
今回はいきなり公開されたのではなく、10月12日に事前告知（PSA-2026-10-12）が出ていました。告知では、10月14日の16時から21時（協定世界時。日本時間では15日の午前1時から6時）の間に、サポート中の全ブランチ向けにコアのセキュリティリリースを出すと予告し、事前に最新のパッチリリースへ上げておくこと、リリース前後に作業時間を確保しておくことを求めていました。
Drupalのコアでは、深刻な脆弱性の修正をこのように前もって告知し、日時を決めて公開する運用が取られています。告知の時点では脆弱性の中身は伏せられていたので、保守を請け負っている側にとっては、この2日間でどれだけ準備できたかが対応の速さを分けたはずです。
すぐ更新できないときはField UIのアンインストール
アドバイザリは、更新までの保護策として、コアのField UIモジュールをアンインストールする方法を案内しています。Field UIは管理画面からフィールドを追加・編集するためのモジュールなので、運用中のサイトでは普段は使っていないことも多いでしょう。ただし、アンインストールすると管理画面でフィールドの設定を変えられなくなるので、作業の予定がある場合は更新を優先したほうがよいでしょう。
保護サービス「Drupal Steward」を使っているサイトは、既知の攻撃経路の一部からは守られていますが、すべての悪用を防げるわけではないとして、こちらも早めの更新が推奨されています。
担当サイトで確認する手順
担当しているサイトでの確認は、次の順番で進めると漏れが少なくなります。
- 管理画面の「ステータスレポート」や
composer show drupal/coreなどで、コアのバージョンを確かめる - 影響範囲に入っていれば、同じブランチの修正版（11.4.10／11.3.19／10.6.19）へ更新する
- サポート終了のブランチなら、サポート中のブランチへの移行計画を立て、それまではField UIのアンインストールを検討する
- 拡張モジュールやカスタムコードが Field UI の機能を利用・公開していないかを確認する
- 更新後、ステータスレポートでコアのバージョンが実際に上がったかを確かめる（Composer の制約が
~10.5のように古いマイナーに固定されていると、composer updateを実行しても 10.6.19 に上がらないことがあります）
事前告知の時点では攻撃の難しさが「Complex」だったのに対し、正式なアドバイザリでは「Basic」に変わっていました。点数は同じ19点でも、悪用のしやすさの評価は公開時に一段上がったと読むべきでしょう。もう一つ厄介なのは、「コア単体では悪用できない」という一文が安心材料に見えてしまう点だと考えます。実際のサイトは拡張モジュールの組み合わせで動いているのが普通で、どのモジュールが攻撃経路になるかは公表されていないので、自分のサイトが当てはまるかを外から判断する手段がほとんどありません。そう考えると、判断の基準は「該当するモジュールを使っているか」ではなく「影響範囲のバージョンかどうか」に置くのが現実的です。保守契約のあるサイトはもちろん、納品後に手を離れたサイトこそ、古いブランチのまま残っていないかを一度洗い出しておきたいところです。
サーバー・実行環境の更新については、Apache HTTP Server 2.4.69 の脆弱性修正やNode.js の10月21日のセキュリティ更新もあわせて確認してください。
参考にした情報
- Drupal.org「Drupal core – Critical – Remote code execution – SA-CORE-2026-014」（2026年10月14日）
- Drupal.org「Upcoming critical Drupal core release on October 14, 2026 – PSA-2026-10-12」（2026年10月12日）
- Security NEXT『「Drupal」に脆弱性 – 拡張モジュールとの組み合わせで深刻な影響も』（2026年10月15日）
2026年10月16日時点の情報です。
