Drupalが重大なRCE脆弱性を2件修正（CVE-2026-108097、CVE-2026-108099）

佐々山 Tacos

2026.10.19

[開く][閉じる]

Drupalが重大なRCE脆弱性を2件修正（CVE-2026-108097、CVE-2026-108099）
中国系APT、BeyondTrustの脆弱性をゼロデイとして悪用（CVE-2026-102764）

Drupalが重大なRCE脆弱性を2件修正（CVE-2026-108097、CVE-2026-108099）

BleepingComputer – October 17, 2026

Drupalが先週、サポート対象となっている同コンテンツ管理システム（CMS）の全バージョンに存在する2件の重大な脆弱性を修正し、その詳細を公表した。

これらのバグはソフトウェアのコアに含まれるField UIモジュールおよびコントリビュートモジュールの「Entity List」に影響を及ぼし、攻撃者にリモートでコードを実行される恐れがあるという。Drupalは先週初めに事前警告を発しており、数時間〜数日以内にエクスプロイトが開発される可能性があるとして迅速なアップデートの適用を強く求めていた。

各脆弱性の概要は以下の通り。

CVE-2026-108097：DrupalコアのField UIモジュールにおけるリモートコード実行の脆弱性とされ、影響を受けるサーバー上で攻撃者が任意のコードを実行できる可能性がある。
CVE-2026-108099：Viewsモジュールを使用せずにエンティティリストを作成するためのコントリビュートモジュール「Entity List」における欠陥。リモートコード実行につながる恐れがある。

セキュリティアドバイザリによると、CVE-2026-108097はDrupalコア単体では悪用できないものの、コントリビュートモジュールを介することで複数の攻撃経路が生じる可能性があり、中には認証不要の経路が少なくとも1つ存在すると指摘されている。同じくCVE-2026-108099も、コントリビュートモジュールやカスタムコードとのやり取りが必要になる場合があるほか、認証を必要としない攻撃経路が少なくとも1つあるようだ。

Drupal 10.6.xより前の全バージョン、Drupal 11の11.3.xより前の全バージョンはサポートが終了しており、利用しているリリースブランチに応じてDrupalコアをバージョン10.6.19、11.3.19、11.4.10に、またEntity Listモジュールをバージョン3.0.10にそれぞれアップデートすることが推奨されている。

DrupalはWebサイトの構築や管理に使用される無料のオープンソースCMSで、特に政府機関、大学、非営利団体などで広く利用されている。同プロジェクトのWebサイトによると、Drupalで構築されたWebサイトは100万件を超えるそう。

中国系APT、BeyondTrustの脆弱性をゼロデイとして悪用（CVE-2026-102764）

SecurityWeek – October 16, 2026

中国のAPT（高度持続的脅威）が国家の支援を受けたスパイ活動の一環として、BeyondTrustの脆弱性をゼロデイとして8月から悪用していることがわかった。

悪用された脆弱性（CVE-2026-102764、CVSSスコア9.3）はメッセージの送信元検証が不適切なことに起因し、Remote Support（RS）アプライアンス上で攻撃者にファイルを操作される可能性が生じるとのこと。BeyondTrustによると、RSの全バージョン（26.2.3を含むそれ以前のすべてのバージョン）が影響を受けるという。

BeyondTrustがこのバグを特定したのは悪用事例が公表された翌日の9月28日だが、実際に悪用が開始されたのは8月29日だったそう。BeyondTrustがホストするRSアプライアンス1台、顧客が自前でホストするRSアプライアンス1台が標的となり、同社は9月30日までにパッチを作成したが、慎重なテストと対応を経て10月8日に修正版をリリースしている。

MandiantおよびGoogle脅威インテリジェンスグループ（GTIG）によると、CVE-2026-102764は中国関連の脅威アクター「Armory Castle」（別名：UNC5221、Warp Panda）によってゼロデイとして悪用されていた。Armory Castleは長期的な情報収集を目的とする国家支援型のスパイグループで、遅くとも2023年10月から活動している。

同グループはソフトウェア・アズ・ア・サービス（SaaS）プロバイダー、テクノロジー企業、政府機関、法律関連サービス、ビジネス・プロセス・アウトソーシング（BPO）企業などを標的にすることで知られ、Citrix NetScaler（CVE-2023-4966、別名：CitrixBleed）、Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2025-0282）、Dell RecoverPoint for Virtual Machines（CVE-2026-22769）のゼロデイ脆弱性を悪用していたことが確認されている。