緊急 PHP2Shell：PHP 本体に認証不要の RCE 脆弱性が 2 件。修正版は 2026 年 10 月 21 日に公開済みです。 影響を確認する →
English お問い合わせ
← ニュース一覧

Drupal 11月4日の一斉公開:コントリビュートモジュールに24件のアドバイザリ、API認証バイパス、Content SynchronizerのRCE、偽装決済Webhookも

2026年11月4日、Drupalセキュリティチームはコントリビュートモジュール向けに24件のアドバイザリを公開しました。最優先はREST & JSON API Authenticationの認証バイパス(CVE-2026-122067、3.2.1で修正)と、Content SynchronizerのPHPオブジェクトインジェクションによるRCE(CVE-2026-118547、4.1.1で修正)です。

2026年11月4日、Drupalセキュリティチームはコントリビュートモジュール向けのアドバイザリを大量に公開しました。SA-CONTRIB-2026-293〜SA-CONTRIB-2026-315に加え、修正済みで復帰したモジュールに関するSA-CONTRIB-2026-278の計24件です。10月28日の一斉公開に続くものです。

コアは影響を受けません。ただし、これらのモジュールを1つ以上使っているサイトは多く、いくつかはログインなしで悪用できる可能性があります。

まず確認すべき2件

REST & JSON API Authentication(rest_api_authentication)、SA-CONTRIB-2026-298

  • リスク: Critical(17/25)、アクセスバイパス、CVE-2026-122067
  • 影響: 3.2.1未満
  • 内容: APIキーが未設定の場合にリクエストを拒否していませんでした。API認証を有効にしているのにアプリケーションのAPIキーを生成していないサイトでは、未認証の攻撃者が認証を回避し、保護されたリソースを閲覧・変更できる可能性があります。
  • 対処: 3.2.1へアップグレード。すぐに更新できない場合、DrupalはAPIキーを生成し、管理者ユーザーによる不審なアクセスがないかログを確認するよう勧めています。

Content Synchronizer(content_synchronizer)、SA-CONTRIB-2026-293

  • リスク: Critical(17/25)、リモートコード実行、CVE-2026-118547
  • 影響: 4.1.1未満
  • 内容: 細工したインポート用アーカイブにより、信頼できないデータがデシリアライズされ(PHPオブジェクトインジェクション、CWE-502)、コード実行につながる可能性があります。別のアドバイザリSA-CONTRIB-2026-294(CVE-2026-118566)では、同じモジュールのDOMベースXSSも修正されています。
  • 対処: 4.1.1へアップグレード。

コンテンツのインポート系モジュールでデシリアライズによるRCEが見つかったのは、1週間で2件目です。Single Content Syncも10月28日に同種の修正を受けています(SA-CONTRIB-2026-275)。

決済・コマース関連

オンラインショップに直接関わるアドバイザリが3件あります。

  • Commerce Escrow(SA-CONTRIB-2026-302、CVE-2026-122071):Escrow.comからのWebhookを十分に検証していませんでした。攻撃者はステータス更新を偽装し、未払いの注文を支払済み・完了にしたり、進行中の注文をキャンセルしたりできます。
  • AlternativeCommerce PayPal Checkout(basket_paypal、SA-CONTRIB-2026-300、CVE-2026-122069):未認証の細工したWebhookリクエストで、支払いなしに注文を支払済みにできます。
  • Commerce Product Alternative(SA-CONTRIB-2026-301、Critical、CVE-2026-122070):匿名訪問者が他の匿名訪問者のカート(商品名や価格を含む)を閲覧し、商品を差し替えられます。

いずれかの決済モジュールを使っている場合は、更新したうえで、最近の「支払済み」注文とEscrow.comやPayPalへの実際の入金を照合してください。

その他のCritical

  • Simple OAuth (OAuth2) & OpenID Connect(SA-CONTRIB-2026-296、CVE-2026-122058):コンシューマーを作成・編集できるユーザーが悪意あるコンシューマーを設定し、より高い権限(最大で完全な管理者権限)のトークンを取得できる可能性があります。
  • Workflow Notifications(SA-CONTRIB-2026-297、CVE-2026-122066):通知設定ページが不正な変更から保護されていませんでした。
  • Highlight Js syntax highlighter(SA-CONTRIB-2026-299、CVE-2026-122068):CKEditor 5のプレビュー用エンドポイント経由の反射型XSS。
  • S3 File System CORS Upload(SA-CONTRIB-2026-295、CVE-2026-122057):条件によっては、権限のないファイルを削除できます。
  • Reset Password Email/SMS OTP(SA-CONTRIB-2026-305、CVE-2026-122074):ブロック中のユーザーのパスワードもリセットできてしまい、管理者がブロックを解除した時点で問題になります。
  • GroupEx PRO (Daxko) integration(SA-CONTRIB-2026-278、CVE-2026-118565):RCEにつながり得るPHPオブジェクトインジェクション。10月28日にサポート対象外とされていましたが、11月4日に修正版が出てプロジェクトが復帰しました。

Moderately critical / Less critical

残りは、htmLawed(2件。うち1件はDrupalコア11.2より新しいサイト、またはHTMXライブラリを含むコアが対象)、Extended HTML Filter、AdobeAnalytics、Name FieldのXSS、WordsOnline Connectorの管理者権限でのSQLインジェクション、Islandora(ファイル上書き)、Scheduler、Forum Access、Password Separate Form、Allowed Languagesのアクセスバイパス、Mime Mailの情報漏えいです。

注目すべき傾向として、htmLawed、Extended HTML Filter、そして10月28日のAIモジュールなど、HTMX属性を考慮していないフィルターの問題が続いています。独自のテキストフィルターやサニタイザーを保守している場合は、HTMX属性についても確認してください。

やるべきこと

  1. composer outdated "drupal/*" を実行するか「利用可能な更新」レポートで、該当モジュールを使っているか確認する。
  2. Drupalのコントリビュート向けセキュリティアドバイザリ一覧に記載されたバージョンへ、それぞれ更新する。
  3. 決済モジュールを使っている場合は、最近の注文を決済事業者側の記録と照合する。
  4. REST & JSON API Authenticationは、更新後もAPIキーが生成されていることを確認する。

Drupal 7・8・9などの古いサイトでは、修正版がサポート中のコア向けのため、そもそもこれらのモジュール更新を適用できないことがよくあります。古いコアのまま修正のバックポートが必要な場合や、サポート対象バージョンへの移行計画については、RescuePHPにご相談ください。