自社のDrupalサイトは対応済みですか？Drupal公式セキュリティ勧告 SA-CORE-2026-004 でWeb担当者が確認すべきこと

Drupal.org より、Drupal Core の公式セキュリティ勧告 SA-CORE-2026-004 が公開されました。 今回の脆弱性は CVE-2026-9082 として管理される SQL injection で、リスク評価は Highly critical 20/25 です。

主な影響対象は、PostgreSQL データベースを利用している Drupal サイトです。 Drupal.org では、PostgreSQL を利用しているサイトにおいて、細工されたリクエストにより任意の SQL injection が発生する可能性があり、情報漏えい、場合によっては権限昇格、リモートコード実行、その他の攻撃につながる可能性があると説明されています。

なお、モチヤが保守・運用を担当している Drupal サイトについては、SA-CORE-2026-004 の公開後、各案件の DB 種別、Drupal Core バージョン、影響有無を確認し、必要な顧客連絡およびアップデート対応を完了しています。

今回のような重大なセキュリティ勧告では、正式情報の公開後、影響有無の確認、対応方針の判断、アップデート実施までを短時間で進められる保守・運用体制が重要です。

---

SA-CORE-2026-004 とは

SA-CORE-2026-004 は、Drupal Core に関する公式セキュリティ勧告です。 Drupal.org では、今回の脆弱性を Drupal core - Highly critical - SQL injection - SA-CORE-2026-004 として公開しています。

項目	内容
セキュリティ勧告	SA-CORE-2026-004
正式名称	Drupal core - Highly critical - SQL injection - SA-CORE-2026-004
CVE	CVE-2026-9082
脆弱性種別	SQL injection
リスク評価	Highly critical 20/25
主な影響対象	PostgreSQL データベースを利用している Drupal サイト
悪用条件	匿名ユーザーから悪用可能
想定される影響	情報漏えい、場合によっては権限昇格、リモートコード実行、その他の攻撃
公開日	2026年5月20日 UTC / 日本時間 2026年5月21日未明
公式情報	Drupal.org - SA-CORE-2026-004

Drupal.org の説明によれば、今回の脆弱性は Drupal Core のデータベース抽象化 API に関する問題であり、PostgreSQL を利用しているサイトにおいて、細工されたリクエストにより任意の SQL injection が発生する可能性があります。

---

今回の主な緊急対象は PostgreSQL 利用サイトです

今回の SQL injection 脆弱性の主な直接影響対象は、 PostgreSQL データベースを利用している Drupal サイトです。

PostgreSQL を利用している Drupal サイトで、対象バージョンに該当し、必要なアップデートや緩和策が未実施の場合、サイトが脆弱性に晒された状態となっている可能性があります。

特に、この記事を読んでいる時点で、以下に該当する場合は早急な確認をおすすめします。

• 今回の脆弱性について運用担当者・委託先から案内がない
• 自社サイトが PostgreSQL を利用しているか分からない
• 影響対象かどうか説明を受けていない
• アップデート済みか分からない
• 対応予定日時が提示されていない

---

PostgreSQL 以外なら何もしなくてよい、という意味ではありません

一方で、PostgreSQL を利用していないから完全に何もしなくてよい、という意味ではありません。

Drupal.org は、今回の SQL injection 脆弱性については PostgreSQL 利用サイトに影響すると説明しています。 しかし同時に、今回の Drupal Core リリースには Symfony / Twig の上流セキュリティ更新も含まれています。

そのため、MySQL / MariaDB など PostgreSQL 以外のデータベースを利用している Drupal サイトでも、 通常のセキュリティアップデートとして今回の Drupal Core リリース内容を確認し、適用方針を判断すること をおすすめします。

また、Drupal.org は、Views や contrib module 経由で Twig templates を更新できるユーザーロールについても確認を推奨しています。 一般的な権限設定で、信頼された管理者のみが Views やテンプレート相当の設定を編集できる場合は過度に緊急視しすぎる必要はありませんが、管理者以外に該当権限を付与している場合は、権限設定を確認してください。

サイト構成	対応方針
PostgreSQL 利用サイト	SQL injection の直接影響対象として、早急に影響確認とアップデート対応状況を確認
MySQL / MariaDB 利用サイト	SQL injection 本体の直接影響対象ではない可能性が高いが、通常のセキュリティアップデートとしてリリース内容を確認
管理者以外が Views / Twig テンプレート相当の設定を編集できるサイト	権限設定を確認し、不要に広い権限がないか見直す

---

まず確認すべきこと

Drupal を利用している企業・団体では、まず以下を確認してください。

1. 自社サイトのデータベースが PostgreSQL か、MySQL / MariaDB か
2. 現在の Drupal Core バージョン
3. SA-CORE-2026-004 の影響対象に該当するか
4. すでにアップデート済みか
5. 現在の運用担当者・委託先から説明や対応予定が出ているか
6. 管理者以外に Views や Twig テンプレート相当の設定編集権限がないか

特に重要なのは、DB 種別の確認です。 今回の SQL injection 脆弱性は、PostgreSQL を利用している Drupal サイトに影響します。 PostgreSQL を利用しているかどうかが分からない場合は、現在の運用担当者・委託先に直ちに確認してください。

---

MySQL / MariaDB を利用している Drupal サイトの場合

MySQL / MariaDB を利用している場合、今回の SQL injection 本体の直接影響対象ではない可能性が高いです。

ただし、PostgreSQL ではないからといって、何も確認しなくてよいわけではありません。 今回の Drupal Core リリース内容を確認し、通常のセキュリティアップデートとして対応方針を確認することをおすすめします。

社内担当者または委託先に対して、以下を確認してください。

• 今回の SA-CORE-2026-004 を確認しているか
• 自社サイトが PostgreSQL ではないことを確認済みか
• Drupal Core の更新方針はどうするか
• Views や Twig テンプレート相当の設定編集権限に問題がないか
• 今後のセキュリティアップデート対応フローは明確か

---

運用担当者・委託先に確認すべき5つの質問

現在の運用担当者・委託先に、最低限以下の5点を確認してください。

1. 自社サイトのデータベースは PostgreSQL ですか。MySQL / MariaDB ですか。

今回の SQL injection 脆弱性は、PostgreSQL を利用している Drupal サイトに直接影響します。 まず、自社サイトの DB 種別を確認することが重要です。

2. 自社サイトは SA-CORE-2026-004 の影響対象バージョン・構成に該当しますか。

Drupal Core のバージョンとサイト構成を踏まえ、公式セキュリティ勧告の影響対象に該当するか確認してください。

3. 該当する場合、アップデートまたは必要な緩和策はすでに実施済みですか。

未実施の場合は、いつ実施するのか、実施までのリスクをどのように管理するのかまで確認してください。

4. PostgreSQL 以外の場合も、今回の Drupal Core リリースに対する通常のセキュリティアップデート方針は決まっていますか。

PostgreSQL 以外のサイトであっても、通常のセキュリティアップデートとして、今回のリリース内容と対応方針を確認することをおすすめします。

5. 管理者以外に Views や Twig テンプレート相当の設定を編集できるロールはありませんか。

今回のリリースには Symfony / Twig の上流セキュリティ更新も含まれています。 一般的な権限設定で、信頼された管理者のみが Views やテンプレート相当の設定を編集できる場合は過度に緊急視しすぎる必要はありませんが、管理者以外に該当権限が付与されている場合は、権限設定を確認してください。

---

回答が曖昧な場合は要注意

現在の運用担当者・委託先に確認した際、以下のような回答しか得られない場合は注意が必要です。

• DB 種別が分からない
• まだ確認していない
• 影響対象か判断できない
• 対応予定が未定
• アップデート可否をすぐ判断できない
• 顧客側から問い合わせるまで案内がなかった
• PostgreSQL 以外なので完全に対応不要だと説明されたが、通常のセキュリティアップデート方針が示されていない

今回のような重大なセキュリティ勧告では、単に Drupal サイトを構築できるだけでなく、 公式情報を読み解き、自社サイトへの影響を判断し、必要な対応を短時間で実行できる保守・運用体制 が求められます。

正式情報の公開後も明確な案内や対応方針が示されない場合、現在の保守・運用体制そのものを見直すべきサインとなり得ます。

---

モチヤでは管理サイトの確認・必要対応を完了しています

モチヤでは、SA-CORE-2026-004 の正式公開後、保守・運用を担当する Drupal サイトについて、以下を確認しました。

• DB 種別
• Drupal Core バージョン
• SA-CORE-2026-004 の影響有無
• アップデート要否
• 必要な対応の実施状況
• 管理者以外に Views / Twig テンプレート相当の設定編集権限がないか

そのうえで、モチヤが保守・運用を担当している Drupal サイトについては、必要なアップデート対応を完了しています。

重大なセキュリティ勧告では、技術的な知識だけでなく、公式情報を読み解き、影響対象を判断し、短時間で反映まで進める体制が重要です。

---

Drupalだけが特別に危険というわけではありません

今回の注意喚起は、Drupal だけが特別に脆弱性を抱えやすいという意味ではありません。

オープンソースソフトウェアは、Drupal に限らず、広く社会やビジネスを支える重要な基盤です。 その一方で、どのソフトウェアであっても、運用を続ける中で脆弱性が発見される可能性は避けられません。

重要なのは、脆弱性が存在するかどうかではなく、 重大な情報が公開された際に、利用企業や支援事業者がどれだけ迅速かつ適切に対応できるか です。

Drupal も、他の多くのオープンソースソフトウェアと同様に、継続的なセキュリティレビューと更新を前提として安全性を高めていく仕組みの上に成り立っています。

---

モチヤが今回の情報発信を行った理由

モチヤでは、今回の件について以下の通り情報発信を行っています。

日付	内容	役割
5/19	事前解説ブログ公開	PSA-2026-05-18 のリスク評価・事前準備を解説
5/21	PR TIMES 配信	SA-CORE-2026-004 正式公開後、企業向けに緊急確認を呼びかけ
今回	続報ブログ	実務対応ポイントと相談導線を整理

5/19に公開した事前解説記事では、Drupal Core に関する Highly critical のセキュリティリリース予告について、リスク評価、過去事例、バージョン別対応、事前準備の重要性を整理しました。

5/21には、正式に公開された SA-CORE-2026-004 を受けて、PR TIMES上で、Drupal利用企業に対して DB 種別、Core バージョン、アップデート対応状況の確認を呼びかけました。

モチヤは、Drupal 専門の開発会社として、重大なセキュリティ勧告が公開された際には、Drupal を利用する企業が速やかに必要な判断を行えるよう、情報を広く共有することが重要だと考えています。

---

技術的背景を詳しく知りたい方へ

今回の SA-CORE-2026-004 を理解するうえでは、以下の観点も重要です。

• Highly critical 20/25 という評価の意味
• AC / A / CI / II / E / TD といったリスク評価項目の読み解き
• 2019年の重大脆弱性 SA-CORE-2019-003 で実際に攻撃が広がった前例
• 実際の改ざん被害に関する現場での知見
• Drupal バージョン別に必要となる事前対応
• Drupal Steward を利用していても、アップデートが必要である理由

これらについては、モチヤが公開済みの事前解説記事で詳しく整理しています。

Drupal Coreで約7年ぶりの「Highly critical」予告。深刻な脆弱性に企業サイト担当者が今すぐ確認すべきこと

---

対応判断や現在の保守・運用体制に不安がある場合

以下に該当する場合は、モチヤの Drupal無料相談 をご活用ください。

• 自社サイトが PostgreSQL を利用しているか分からない
• Drupal Core バージョンが分からない
• SA-CORE-2026-004 への対応状況が不明
• PostgreSQL 以外の場合でも、今回のリリースに対する通常のセキュリティアップデート方針が分からない
• Views や Twig テンプレート相当の設定編集権限について確認できていない
• 運用担当者・委託先から明確な説明がない
• 現在の保守体制に不安がある
• Drupal の継続的なセキュリティアップデート体制を見直したい

モチヤでは、Drupal に関する 60分間の無料オンライン相談を提供しており、セキュリティ対応に関する状況整理、Drupalサイトの運用・保守に関する相談、バージョンアップ方針の検討、現在の保守・運用体制に関する課題整理などに対応しています。

まずは、現在の状況整理からご相談いただけます。

---

まとめ

今回の SA-CORE-2026-004 は、Drupal Core に関する Highly critical 20/25 のセキュリティ勧告です。 主な直接影響対象は、PostgreSQL データベースを利用している Drupal サイトです。

PostgreSQL を利用している Drupal サイトでは、早急に影響有無とアップデート対応状況を確認してください。

一方で、PostgreSQL 以外であれば完全に何もしなくてよい、という意味ではありません。 今回のリリースには Symfony / Twig の上流セキュリティ更新も含まれており、サイト構成や利用モジュールによっては確認が必要な場合があります。 MySQL / MariaDB を利用している場合も、通常のセキュリティアップデートとして、今回の Drupal Core リリース内容と対応方針を確認することをおすすめします。

モチヤが保守・運用を担当している Drupal サイトについては、すでに必要な確認と対応を完了しています。

自社サイトの対応状況に不安がある場合は、現在の運用担当者・委託先へ確認し、それでも明確な回答が得られない場合は、専門家への相談をご検討ください。