Drupal core - Critical - Remote code execution - SA-CORE-2026-014
Critical
コア
日本時間2026/10/15、Drupalコアにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Drupalコア
●投稿日 ：2026/10/15 JST
●セキュリティリスク ：Critical
●脆弱性 ：Remote code execution
●対象バージョン ： >=8.9.0 <10.6.19 || >=11.0.0 <11.3.19 || >=11.4.0 <11.4.10 || >=12.0.0-alpha1 <12.0.0-beta2
==概要==
DrupalコアのField UIモジュールに、リモートコード実行の脆弱性が存在します。
この脆弱性は、コア単体では直接悪用できませんが、コントリビュートモジュールと組み合わせることで、複数の深刻な攻撃経路が存在します。少なくとも1つの既知の攻撃経路は、認証を必要としません。カスタムコードによって、脆弱な機能が公開されている場合もあります。
この脆弱性は、コアのField UIモジュール（field_ui）をアンインストールすることで対処でき、サイトをアップデートするまでの間の保護になります。
Drupal Stewardによる保護
この問題はDrupal Stewardによって保護されています。Drupal Stewardを利用しているサイトは、一部の既知の攻撃ベクトルに対しては既に保護されていますが、提供される保護はすべての攻撃手法を網羅するものではありません。追加の攻撃ベクトルが発見される可能性があるため、近いうちにアップグレードする必要があります。
==解決方法==
最新バージョンをインストールしてください。
Drupal 11
- Drupal 11.4.xを利用している場合は Drupal 11.4.10 にアップデートしてください。
- Drupal 11.3.xを利用している場合は Drupal 11.3.19 にアップデートしてください。
- Drupal 11.2.x以前はサポートが終了しており、セキュリティ対応の対象外です。
Drupal 10
- Drupal 10.6.xを利用している場合は Drupal 10.6.19 にアップデートしてください。
- Drupal 10.5.x以前はサポートが終了しており、セキュリティ対応の対象外です。
Drupal 8およびDrupal 9は、いずれもサポートが終了しています。
