脅威動向 2026-10-16（金）配信

Drupal、フィールドUIの重大なRCE脆弱性修正

DrupalコアのフィールドUIモジュールに、リモートコード実行（RCE）につながる重大な脆弱性が発見されました。Drupalセキュリティチームは修正版を公開し、一部の寄与モジュールを経由した攻撃経路では認証なしで悪用されるおそれがあるとして警戒を呼びかけています。

脅威の概要

DrupalコアのフィールドUIモジュールにおいて、管理ページのテーブル要素構築時にPHPのコールバック関数が適切に検証されない脆弱性（CVE-2026-108097）が存在します。コア単体では到達できませんが、特定の寄与モジュールやカスタムコードを経由することで、攻撃者がサイトのサーバー上で任意のコードを実行できるおそれがあります。

主要なTTP

フィールドUIモジュールのテーブル要素の pre-render ステップにおける、検証されない PHP コールバック関数の実行

寄与モジュールやカスタムコードを介した、認証不要の脆弱性へのアクセス経路の利用

対象となる組織・利用者

サポート対象またはサポート終了前の Drupal コア環境（特にフィールドUIモジュールや該当する寄与モジュールを利用している組織）

推奨される防御アクション

Drupal コアをサポート対象の修正版（11.4.10、11.3.19、10.6.19 等）にアップデートする

直ちにアップデートできない場合は、フィールドUIモジュール（field_ui）をアンインストールする

Drupal Steward などの対応済みWAFサービスを導入し、既知の攻撃ベクトルを遮断する

出典：https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →