Drupal Coreで約7年ぶりとなる「Highly critical」級脆弱性、モチヤが利用企業へDB種別と対応状況の緊急確認を呼びかけ

モチヤ株式会社は、Drupal.org が公開した Drupal Core の公式セキュリティ勧告 SA-CORE-2026-004 を受け、Drupal を利用する企業・団体に対し、特に PostgreSQL データベースを利用している Drupal サイトについて、早急な影響確認とアップデート対応状況の確認を呼びかけます。

今回の脆弱性は CVE-2026-9082 として管理される SQL injection で、Drupal.org によるリスク評価は Highly critical 20/25 です。Drupal.org は、PostgreSQL を利用しているサイトにおいて、細工されたリクエストにより任意の SQL injection が発生する可能性があり、情報漏えい、場合によっては権限昇格、リモートコード実行、その他の攻撃につながる可能性があると説明しています。また、この脆弱性は匿名ユーザーから悪用可能とされています。

今回の SQL injection 脆弱性は、PostgreSQL を利用している Drupal サイトに影響します。一方で、PostgreSQL 以外のデータベースを利用しているサイトについても、通常のセキュリティアップデートとして、今回の Drupal Core リリース内容と対応方針を確認することが推奨されます。

モチヤでは、正式なセキュリティ勧告公開前の段階から、今回の予告内容、リスク評価の意味、過去の重大脆弱性事例、バージョン別に必要となる事前対応について解説記事を公開してきました。今回の正式発表を受け、Drupal 利用企業に対して、改めて早急な確認を促します。

### 公開されたセキュリティ勧告の概要
- **セキュリティ勧告:** SA-CORE-2026-004
- **正式名称:** Drupal core - Highly critical - SQL injection - SA-CORE-2026-004
- **公開日:** 2026年5月20日 UTC / 日本時間 2026年5月21日未明
- **CVE:** CVE-2026-9082
- **リスク評価:** Highly critical 20/25
- **主な影響対象:** PostgreSQL データベースを利用している Drupal サイト
- **悪用条件:** 匿名ユーザーから悪用可能
- **想定される影響:** 情報漏えい、権限昇格、リモートコード実行、その他の攻撃

今回の件は、事前告知時点で Highly critical 20/25 と評価されていた重大案件です。Drupal Core の Highly critical 級セキュリティ勧告としては、2019年の SA-CORE-2019-003 以来、約7年ぶりの重大案件として注目されています。

モチヤでは、その異例性と、公開後の初動が重要になる点について整理し、Drupal 利用企業において運用担当者や委託先から連絡がない場合や、自社サイトが PostgreSQL を利用しているか不明な場合に、早急な確認を行うよう推奨しています。