チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Drupalで動いている自社サイト、急ぎパッチを当てなきゃいけないの？」
「Highly Criticalって言われても、まだCVEも公表されていないけど何が危険なの？」
チップスボス、Drupalが緊急で更新するって言ってましゅけど、まだ詳細が出ていないんでしゅか？
ボスうむ、5月18日付の事前告知PSA-2026-05-18で、5月20日17〜21時UTCに公開と予告された。詳細はリリースまで伏せられている。
本記事では、Drupalコアの「Highly Critical」緊急リリースの位置づけと、公開数時間で悪用される可能性を踏まえた優先対応を解説します。
政府機関や大学を含む数百万サイトに影響する重大事案です。
続きを読めば、公開直後に動くべき優先順位と、Drupal Stewardの限界を含めた現実的な防御策が分かります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Drupalの「Highly Critical」は最高ランクの脅威評価です。
事前告知の段階で動いている時点で、相当な深刻度を運営側が認識しています。
Drupalセキュリティチームは25点満点中20点の評価を付与しています。
Access Complexityが「None」、Authenticationも「None」とされ、認証情報や前提条件なしで悪用が成立する設計です。
機密性と完全性への影響は最大の評価で、非公開データの読み取りとサイトデータの改ざん・削除が可能になります。
事前告知の評価ポイントは表のとおりです。
| 項目 | 内容 |
|---|---|
| 識別子 | PSA-2026-05-18（事前告知） |
| リスク評価 | 25点満点中20点（Highly Critical） |
| 公開予定 | 2026年5月20日 17〜21時UTC |
| 対象 | Drupal 11.3／11.2／10.6／10.5（および8.9／9.5へのパッチ） |
Drupalチーム自身が、公開後「数時間から数日」で悪用コードが開発される可能性を指摘しています。
過去のSA-CORE-2018-002（通称Drupalgeddon2）でも、パッチ公開から数時間で大規模な攻撃キャンペーンに発展しました。
政府機関や大学、メディアサイトでの利用が多いCMSのため、攻撃者にとっては高価値なターゲットです。
チップス数時間で攻撃が始まるって、寝てる間にやられちゃうかもでしゅか？
ボスうむ、メンテナンス窓口を事前に確保しておけ。日本時間では5月21日午前2〜6時の公開だ。
事前告知の段階で準備できることは多くあります。
パッチ公開を待つだけでなく、検知と封じ込めの体制も整えておくべきです。
有償のクラウド保護「Drupal Steward」は、リリース時に既知の攻撃ベクトルへの保護を即時に提供します。
ただしSteward側でも、コード更新を不要にするものではないと明言されています。
WAFやCDNでの一次防御に加え、最終的にはコアアップデートが必須という前提で動く必要があります。
5月20日のリリースまでに確認すべき項目はこちらです。
サポート終了済みの11.1や10.4、さらにはDrupal 8.9や9.5にもパッチが提供されることが告知されています。
「サポート切れだから無視できる」ではなく、攻撃者にとっては逆に脆弱なまま放置されている可能性が高い格好のターゲットです。
日本企業でも古いバージョンのDrupalで運用中のコーポレートサイトは多く、棚卸しと適用判断を早急に進めるべきです。
チップスサポート切れだから安全だと思っていたけど、むしろ狙われやすいんでしゅね…
ボスうむ、攻撃者は古いバージョンに張り込んで待っているものだ。手動パッチでも当てる価値はある。
事前告知から公開まで2日しかなく、その後の悪用展開はさらに速いと予想されます。
Drupal運用者が今やるべき行動を整理します。
チップス夜中対応は大変でしゅけど、攻撃が始まる前に動かなきゃでしゅね！
ボスうむ、緊急時の動きは普段からの段取りで決まる。今日中に役割を決めておけ。
詳しい情報はDrupal.orgの事前告知PSA-2026-05-18とSecurity NEXTの報道を参照してください。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
