Drupal CoreにSQLインジェクション（CVE-2026-9082）— 権限昇格と遠隔コード実行のおそれ
広く使われるオープンソースCMS「Drupal」のコアに、データベース抽象化APIを介したSQLインジェクションの脆弱性。細工した要求で権限昇格や遠隔コード実行(RCE)につながりうる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.8 Critical）。
脆弱性の基本情報
- CVE番号CVE-2026-9082
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Drupal Core
- CWECWE-89
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-05-27（米連邦民生機関・BOD 22-01）
要点
CVE-2026-9082は、Drupal Core（多くの公共・企業サイトで使われるオープンソースCMS「Drupal」の中核）に存在するSQLインジェクション（CWE-89）の脆弱性だ。CISAのKEVカタログに2026年5月22日付で追加された。
NVDの説明によれば、Drupalのデータベース抽象化API（DBへのアクセスを共通化する仕組み）に細工した要求を送ることで、SQLインジェクションが成立し、権限昇格や遠隔コード実行(RCE)につながりうる。CMSのコア機能（多くのサイトが共通して使う基盤部分）の脆弱性であるため、影響範囲は広い。
Drupalは政府機関や大学、企業のWebサイトでも広く採用されており、外部に公開されたサイトでこの脆弱性が悪用されると、サイトの改ざんや乗っ取り、サーバ上でのコード実行につながる恐れがある。CMSは攻撃者にとって到達しやすい「インターネット公開資産」であり、KEV入りは迅速な更新を促すものだ。
【対応の要点】Drupal公式の指示に従ってコアを修正済みバージョンへ更新する。クラウド利用時はBOD 22-01に準拠し、緩和策がなければ使用中止も検討する。公開Webサイトは優先度が高い。連邦民生機関の是正期限は2026年5月27日。
なぜ重要か
広く使われるCMSコアのSQLi/RCEで、公開Webサイトの改ざん・乗っ取りリスクに直結。Drupalを運用する組織は、コアの即時更新と公開資産の棚卸し、Webサーバのログ点検が要点。
よくある質問（FAQ）
Drupalとは何ですか？
何をすべきですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。