Trusted DesignCVE-2026-9082 の詳細
CVEの情報
説明:
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection.
This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.
CVE更新日: 2026-05-20 20:16:41.230000
CVSSバージョン: 3.1
CVSSスコア: 6.5
KEVの情報
KEV更新日: 2026-05-22
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.346520000
EPSS更新日: 2026-06-01 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
1. 脆弱性の概要
Drupal Core に存在する未認証 SQL インジェクション（CWE‑89）脆弱性。 Drupal の Database Abstraction API（特に PostgreSQL ドライバ）において、ユーザー入力（JSON:API / Search API のフィルタキー）が SQL 構文としてそのまま組み込まれるため、未認証の攻撃者が任意の SQL を実行可能となる。
1.1 影響
1.2 深刻度
CVSS v3.1：9.8（Critical）（Drupal CNA）
EPSS：12.6%（Moderate）
2. 対象となる環境
2.1 影響を受ける Drupal Core バージョン
OpenCVE / NVD 共通の影響範囲：
※ PostgreSQL ドライバ使用時のみ影響（MySQL/MariaDB/SQLite は影響なし）
2.2 影響を受ける設定
3. 影響を受けた時の兆候（IoC）
公開情報では具体的な IoC は提示されていないが、事実として：
（SQL インジェクションの性質上、ログには異常なフィルタキーや PostgreSQL 構文が残る可能性があるが、公式情報は未公開）
4. 推奨対策
4.1 本対策（恒久対策）
OpenCVE 推奨：
Drupal Core を以下以降へ更新
Drupal が使用する DB ユーザーの権限を最小化
（不要な INSERT / UPDATE / DELETE を削除）
4.2 暫定回避策（緩和策）
OpenCVE 推奨：
5. 技術的補足