Drupal CoreにSQLインジェクション（CVE-2026-9082）— 権限昇格と遠隔コード実行のおそれ
広く使われるオープンソースCMS「Drupal」のコアに、データベース抽象化APIを介したSQLインジェクションの脆弱性。細工した要求で権限昇格や遠隔コード実行(RCE)につながりうる。CISAは悪用確認済み(KEV)として掲載（CVSS 9.8 Critical）。
脆弱性の基本情報
- CVE番号CVE-2026-9082
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Drupal Core
- CWECWE-89
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-05-27（米連邦民生機関・BOD 22-01）
要点
1Drupal Core の脆弱性
CVE-2026-9082は、Drupal Core（多くの公共・企業サイトで使われるオープンソースCMS「Drupal」の中核）に存在するSQLインジェクション（CWE-89）の脆弱性だ。CISAのKEVカタログに2026年5月22日付で追加された。
2データベース抽象化APIの問題
NVDの説明によれば、Drupalのデータベース抽象化API（DBへのアクセスを共通化する仕組み）に細工した要求を送ることで、SQLインジェクションが成立し、権限昇格や遠隔コード実行(RCE)につながりうる。CMSのコア機能（多くのサイトが共通して使う基盤部分）の脆弱性であるため、影響範囲は広い。
3公共・大学サイトでの採用の広さ
Drupalは政府機関や大学、企業のWebサイトでも広く採用されており、外部に公開されたサイトでこの脆弱性が悪用されると、サイトの改ざんや乗っ取り、サーバ上でのコード実行につながる恐れがある。CMSは攻撃者にとって到達しやすい「インターネット公開資産」であり、KEV入りは迅速な更新を促すものだ。
4モジュールの脆弱性と、コアの脆弱性
CMSの脆弱性は、追加した機能にあるのか、中核にあるのかで影響範囲が変わります。この記録は後者にあたります。
対象はデータベース抽象化API、すなわちDBへのアクセスを共通化する仕組みです。細工した要求を送ることでSQLインジェクションが成立し、権限昇格や遠隔コード実行につながりえます。Drupalは政府機関や大学、企業のWebサイトでも広く採用されており、外部に公開されたサイトでこれが悪用されると、サイトの改ざんや乗っ取り、サーバ上でのコード実行につながる恐れがあります。
なぜ重要か
広く使われるCMSコアのSQLi/RCEで、公開Webサイトの改ざん・乗っ取りリスクに直結。Drupalを運用する組織は、コアの即時更新と公開資産の棚卸し、Webサーバのログ点検が要点。
よくある質問（FAQ）
Drupalとは何ですか？
何をすべきですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。