自己報告されたバージョン番号によると、検出されたDrupalアプリケーションは複数の脆弱性の影響を受けます:

- PHPオブジェクトインジェクションの脆弱性がJSON:APIにあり、エンティティ参照フィールドがシリアル化されたプロパティを格納する特定の状況で書き込み権限を持つ攻撃者が悪意のあるペイロードを挿入し、PHPオブジェクトインジェクションを引き起こす可能性があります。(CVE-2026-55803)

- Drupal コアには、サイトに安全でない逆シリアル化の脆弱性が存在する場合に悪用可能な一連のメソッドが含まれており、アプリケーションが信頼できないデータを逆シリアル化した場合に、攻撃者はこれを利用して、リモートコードの実行やその他の攻撃を実行する可能性があります。(CVE-2026-55804)

- rebuild.php フロントコントローラーは、信頼できるホストパターンに対してホストヘッダーを適切に検証できません。これにより、キャッシュポイズニングまたは攻撃者が制御するドメインへのオープンリダイレクトが可能になる可能性があります。(CVE-2026-55806)

- Media モジュールの oEmbed URL 発見メカニズムが悪用されて、Drupal を騙して、サーバー側のリクエストを任意の URL に行わせることで、サーバー側のリクエスト偽造(SSRF)を引き起こす可能性があります。(CVE-2026-55807)

- JSON:API および REST モジュールは、画像のアップロード中にファイル拡張子を検証しますが MIME タイプを検証しません。これにより、ファイルが予期しない MIME タイプで提供され、構成ミスでクロスサイトスクリプティング(XSS)やその他の予期しない動作が可能になる可能性があります。(CVE-2026-55808)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは、10.5.12 より前の 10.5.x、10.6.11 より前の 10.6.x、11.2.14 より前の 11.2.x、または 11.3.12 より前の 11.3.x です。したがって、複数の脆弱性の影響を受けます。

  - Drupal コアには、安全でない逆シリアル化の脆弱性がサイトに存在する際に悪用される可能性のある一連のメソッドが含まれています。このいわゆるガジェットチェーンは直接的な脅威を提示しませんが、アプリケーションが別の脆弱性のために信頼できないデータを逆シリアル化した場合に、リモートコード実行または SQL インジェクションを達成するために使用できるベクトルです。この問題は、直接悪用される可能性はありません。この問題は、悪用可能であるためには、攻撃者が安全でない入力を unserialize() に渡すことを可能にする個別の脆弱性が存在する必要があるという事実により緩和されます。(CVE-2026-55804)

  - Drupal コアには、サイトが予期しない状態にあるときに、Drupalの再構築(キャッシュの消去およびコンテナの再構築)に使用できる rebuild.php フロントコントローラーが付属しています。このスクリプトは、信頼できるホストパターンのリストに対してホストヘッダーを正しくチェックしません。これにより、キャッシュポイズニングまたは攻撃者が制御するドメインへのリダイレクトが引き起こされる可能性があります。(CVE-2026-55806)

  - JSON:APIモジュールとRESTモジュールを使用すると、画像ファイルを画像フィールドにアップロードできます。検証ルールは、アップロードされたファイルのファイル拡張子をチェックしますが、ファイルの MIME タイプはチェックしません。これにより、悪意のあるユーザーが画像ではないファイルをアップロードする可能性があります。特定の Web サーバー構成は、アップロードされたファイルに画像タイプではなく実際の MIME タイプで供給する場合があります。これにより、クロスサイトスクリプティング(XSS)やその他の予期しない動作が発生する可能性があります。(CVE-2026-55808)

  - メディアモジュールには、oEmbed のサポートが付属しています。oEmbed 仕様には、providers.json および URL 検出の 2 つの検出メカニズムが含まれています。この URL 発見コードを利用して、Drupal を騙して、サーバー側のリクエストを任意の URL に行わせることが可能です。(CVE-2026-55807)

  - SA-CORE-2019-003 シリアル化されたデータを保存するフィールドの保護を追加し、Web サービス経由の直接書き込みを禁止します。上記の修正は、JSON:API に対するすべての潜在的な攻撃ベクトルをカバーしていませんでした。適切なJSON:API書き込み権限を持つ攻撃者が、特定のまれな状況で悪意のあるペイロードを挿入し、PHPオブジェクトインジェクションを引き起こす可能性があります。この脆弱性は、悪用可能にするには、以下のようになります。 サイトは、シリアル化されたプロパティを格納するエンティティ参照フィールド型を使用する必要があります。攻撃者には、JSON:API を介してエンティティに書き込むアクセス許可が必要です。Drupal コアに同梱されているフィールドタイプはこれらの基準を満たしておらず、非常に珍しいと思われる貢献フィールドタイプやユーザー作成フィールドタイプはありません。この更新では、そのようなフィールドが全て保護されます。コントリビュートされたモジュールでは、変更は必要ありません。
    JSON:APIはデフォルトで読み取り専用であるため、サイトが書き込みアクセスを有効にしている場合にのみ影響を受けます(管理者構成、または書き込みアクセスを有効にする提供されたモジュールまたはカスタムモジュールのインストールのいずれかを通じて)。Drupal Steward 保護:この問題は Drupal Steward によって保護されています。この場合、WAFルールは一般的/明らかな脆弱性パスに対する緩和を提供すると考えていますが、すべてのケースをカバーするわけではなく、すべてのホスティングプロバイダーで機能するわけではありません。さらに、本日リリースされたいくつかの他のコアセキュリティアドバイザリは、Drupal Steward によって緩和されていません。したがって、推奨のアクションは、このリリースから 24 時間以内に実際の Drupal の更新を計画することです。(CVE-2026-55803)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115309	Drupal 11.3.x < 11.3.12複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
115311	Drupal 10.6.x < 10.6.11複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
115310	Drupal 11.2.x < 11.2.14複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
115312	Drupal 10.5.x < 10.5.12複数の脆弱性	Web App Scanning	Component Vulnerability	2026/7/17	2026/7/17	medium
321519	Drupal 10.5.x < 10.5.12/10.6.x < 10.6.11/11.2.x < 11.2.14/11.3.x < 11.3.12 複数の脆弱性 (drupal-2026-06-17)	Nessus	CGI abuses	2026/6/18	2026/7/23	medium

検出

プラグインの検索

medium

medium

medium

medium

medium