---

📋 概要

CVE-2026-9082 は、Drupal Coreのデータベース抽象化レイヤーにおける SQLインジェクション 脆弱性です。データベースバックエンドとして PostgreSQL を使用しているサイトのみ影響を受けます。

この脆弱性により、認証されていない攻撃者が任意のSQLインジェクションを実行でき、データ漏洩、権限昇格、最悪の場合リモートコード実行につながる可能性があります。

⚠️ これは実際の深刻なセキュリティ勧告です（SA-CORE-2026-004）

---

🛡️ 深刻度

指標	値
CVSS v3スコア	6.5（中）
攻撃ベクター	ネットワーク
複雑さ	低
必要な権限	なし
ユーザー操作	なし
影響	機密性＋完全性

Drupal内部評価: 非常に重要（特にPostgreSQLサイト向け）

---

📌 影響を受けるバージョン

Drupalバージョン	影響範囲	修正バージョン
Drupal 8.9	8.9.0 → 10.4.9	10.4.10
Drupal 10.5	10.5.0 → 10.5.9	10.5.10
Drupal 10.6	10.6.0 → 10.6.8	10.6.9
Drupal 11.0	11.0.0 → 11.1.9	11.1.10
Drupal 11.2	11.2.0 → 11.2.11	11.2.12
Drupal 11.3	11.3.0 → 11.3.9	11.3.10

影響なし:

• Drupal 7.x（全バージョン）
• MySQLまたはMariaDBを使用しているサイト
• SQLiteを使用しているサイト

---

🔧 緩和策

即時対応

Drupal Coreを直ちに更新し、上記の修正バージョンのいずれかにアップデートしてください。

クイックコマンド

# Composerを使用（推奨）
composer update drupal/core-recommended --with-dependencies

# または特定のセキュアバージョンに更新
composer require drupal/core:11.3.10

追加推奨事項

• 可能であれば自動更新を有効にする
• データベースログで不審なクエリを確認する
• パッチ適用が遅れる場合は、PostgreSQL固有のペイロードをブロックする一時的なWAFルールを検討する

---

🛠 技術詳細

• 脆弱性タイプ: SQLコマンドで使用される特殊要素の不適切な無害化（'SQLインジェクション'）
• 場所: Drupal Coreデータベース抽象化API
• 悪用可能なユーザー: 匿名/未認証ユーザー
• トリガー: PostgreSQL固有の機能を使用した特定のデータベースクエリ

---

📚 参照

• 公式勧告: SA-CORE-2026-004
• CVEエントリ: CVE-2026-9082
• Drupalセキュリティチーム

---