Drupal core CVE-2026-108097Field UIの致命的RCE

概要

• Drupal Security Team は 10月12日の PSA（PSA-2026-10-12）で、10月14日 16:00〜21:00 UTC に全サポートブランチ向けの致命的コア更新があると予告し、「攻撃コードが数時間〜数日で出うるので時間を確保せよ」「10月14日より前に、その時点の最新パッチ（バグフィックス）版へ上げておけ」と書いた（Drupal PSA、BleepingComputer）。
• 10月14日、Field UI の RCE（CVE-2026-108097）と Entity List の RCE（CVE-2026-108099）が公開された。いずれも寄与モジュールやカスタムコードが経路になり、認証なしの既知経路が少なくとも1つある（Drupal SA）。
• 100万サイト超が Drupal を使うとされるなか、政府・大学・非営利での利用が多い、と BleepingComputer は位置づけている（BleepingComputer、Drupal の紹介ページ）。

この記事では、ベンダー・公的機関・研究者・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。

何が起きたか（時系列）

技術的な問題点（根本原因）

事実（Drupal SA）

• 欠陥はコアの Field UI モジュール内のリモートコード実行。アドバイザリは、コアだけでは直接触れないが、寄与モジュールが「深刻な悪用経路」を複数提供し、そのうち少なくとも1つは認証不要、カスタムコードでも同様に露出しうると述べている。実装の行単位の説明や、具体的なモジュール名の列挙は SA 本文にはない。
• Entity List（Views なしでエンティティ一覧を作る寄与モジュール）にも、同趣旨の RCE がある。こちらも「単体では直接悪用できないが、他モジュール経由で認証なし経路がある」。
• 緩和として Field UI（field_ui）のアンインストールが有効、と明記されている。
• Steward による保護は「一部の既知ベクトル」に限る。

考察

「コア単体では届かない」は安心材料に見えて、実際の Drupal サイトの多くは寄与モジュールなしでは成り立たない。経路が寄与側に分散していると、コアの CVE だけを追う運用では、自サイトが「認証なし経路を持つ組み合わせ」かどうかが判別しにくい。PSA がアップデート窓口の前にバグフィックス版へ上げるよう求めたのは、セキュリティ当日に依存の衝突で手が止まるのを避けるためだろう。

攻撃・侵入経路

flowchart TD
    A[遠隔の攻撃者] --> B{認証は必要か}
    B -->|既知の少なくとも1経路は不要| C[寄与モジュールまたはカスタムコードが<br/>Field UI の脆弱な機能を露出]
    B -->|別経路| C
    C --> D[Field UI 内の欠陥で任意コード実行<br/>CVE-2026-108097]
    A --> E[Entity List 利用サイト<br/>CVE-2026-108099・同様の露出パターン]
    E --> F[他の寄与モジュール経由で RCE]
    D --> G[サイト／サーバーの掌握]
    F --> G

事実（Drupal SA、PSA、BleepingComputer）

• 悪用の前提は「Field UI（または Entity List）の脆弱な機能が、寄与モジュールやカスタムコード経由で外部から触れること」。SA は具体的なリクエスト例を公開していない。
• PSA 時点の評価も Critical 19／25。公表後、短期間で攻撃コードが出る可能性を Security Team が明示している。

なぜ防げなかったか・構造的要因の考察

1. コアと寄与の境界に欠陥がまたがる。 コアのモジュールが危険な機能を持ち、寄与がそれを「公開 API」のように露出する形は、コアの単体テストや Steward の「既知ベクトル」だけでは取り切れない（SA の記述からの考察）。
2. EOL サイトの残留。 10.6／11.3 未満は修正を受け取れない。PSA も「公開された他の欠陥も含め尽快上げよ」と書いている（Drupal PSA）。
3. 「Steward があるから大丈夫」は成り立たない。 公式が繰り返し「全経路はカバーしない」と書いている（Drupal SA／PSA）。
4. CMS の更新窓口運用。 予告 PSA → 当日一斉公開は Drupal の定石だが、予約時間を取れない運用体制だと、公表直後の数日が最も危険になる（PSA、考察）。

運用者向けの具体的な対策と検知ポイント

対策（事実に基づくもの）

• コアを 10.6.19／11.3.19／11.4.10 へ。Entity List は 3.0.10 へ（Drupal SA）。
• 上げられない間は field_ui をアンインストール（Drupal SA）。本番で Field UI を常時有効にしているか棚卸しする。
• Steward 利用の有無にかかわらず、近いうちにアップグレード（Drupal SA）。
• EOL バージョンはサポート中ブランチへ移行（Drupal PSA／SA）。

検知ポイント（事実に基づくもの）

• サイトの Drupal バージョンと有効モジュール一覧（field_ui、entity_list、および Field UI を拡張する寄与）。
• 公表後の異常な POST／管理画面外からの Field UI 関連パスへのアクセス（一般論。公式 IOC は SA にない）（考察）。

考察（運用上の工夫）

• ステージングで「セキュリティ窓口の当日に一気に上げる」のではなく、PSA が出た時点で依存を最新パッチまで上げ、当日はセキュリティ差分だけを入れる。
• 寄与モジュールの「最終更新が古い」「メンテナ不在」を、Field UI 連携の有無とあわせてリスク表に載せる。

参考リンク

• SA-CORE-2026-014 / CVE-2026-108097
• SA-CONTRIB-2026-218 / CVE-2026-108099（Entity List）
• PSA-2026-10-12 — 10月14日の致命的コア更新予告
• BleepingComputer 報道