Drupalコアに高クリティカル脆弱性、5月20日に緊急更新リリースで悪用に警戒

「Drupalで動いている自社サイト、急ぎパッチを当てなきゃいけないの？」
「Highly Criticalって言われても、まだCVEも公表されていないけど何が危険なの？」

チップス

ボス、Drupalが緊急で更新するって言ってましゅけど、まだ詳細が出ていないんでしゅか？

ボス

うむ、5月18日付の事前告知PSA-2026-05-18で、5月20日17〜21時UTCに公開と予告された。詳細はリリースまで伏せられている。

本記事では、Drupalコアの「Highly Critical」緊急リリースの位置づけと、公開数時間で悪用される可能性を踏まえた優先対応を解説します。
政府機関や大学を含む数百万サイトに影響する重大事案です。

続きを読めば、公開直後に動くべき優先順位と、Drupal Stewardの限界を含めた現実的な防御策が分かります。

Highly Critical指定の意味と影響範囲

Drupalの「Highly Critical」は最高ランクの脅威評価です。
事前告知の段階で動いている時点で、相当な深刻度を運営側が認識しています。

PSA-2026-05-18が示す異例の高評価

Drupalセキュリティチームは25点満点中20点の評価を付与しています。
Access Complexityが「None」、Authenticationも「None」とされ、認証情報や前提条件なしで悪用が成立する設計です。
機密性と完全性への影響は最大の評価で、非公開データの読み取りとサイトデータの改ざん・削除が可能になります。

事前告知の評価ポイントは表のとおりです。

数時間で悪用コードが出回るおそれ

Drupalチーム自身が、公開後「数時間から数日」で悪用コードが開発される可能性を指摘しています。
過去のSA-CORE-2018-002（通称Drupalgeddon2）でも、パッチ公開から数時間で大規模な攻撃キャンペーンに発展しました。
政府機関や大学、メディアサイトでの利用が多いCMSのため、攻撃者にとっては高価値なターゲットです。

チップス

数時間で攻撃が始まるって、寝てる間にやられちゃうかもでしゅか？

ボス

うむ、メンテナンス窓口を事前に確保しておけ。日本時間では5月21日午前2〜6時の公開だ。

公開直後に取るべき優先行動

事前告知の段階で準備できることは多くあります。
パッチ公開を待つだけでなく、検知と封じ込めの体制も整えておくべきです。

Drupal Stewardでも更新は必須

有償のクラウド保護「Drupal Steward」は、リリース時に既知の攻撃ベクトルへの保護を即時に提供します。
ただしSteward側でも、コード更新を不要にするものではないと明言されています。
WAFやCDNでの一次防御に加え、最終的にはコアアップデートが必須という前提で動く必要があります。

5月20日のリリースまでに確認すべき項目はこちらです。

サポート切れ版でも油断しない

サポート終了済みの11.1や10.4、さらにはDrupal 8.9や9.5にもパッチが提供されることが告知されています。
「サポート切れだから無視できる」ではなく、攻撃者にとっては逆に脆弱なまま放置されている可能性が高い格好のターゲットです。
日本企業でも古いバージョンのDrupalで運用中のコーポレートサイトは多く、棚卸しと適用判断を早急に進めるべきです。

チップス

サポート切れだから安全だと思っていたけど、むしろ狙われやすいんでしゅね…

ボス

うむ、攻撃者は古いバージョンに張り込んで待っているものだ。手動パッチでも当てる価値はある。

まとめ：5月20日UTC公開に備えて今日できること

事前告知から公開まで2日しかなく、その後の悪用展開はさらに速いと予想されます。
Drupal運用者が今やるべき行動を整理します。

チップス

夜中対応は大変でしゅけど、攻撃が始まる前に動かなきゃでしゅね！

ボス

うむ、緊急時の動きは普段からの段取りで決まる。今日中に役割を決めておけ。

詳しい情報はDrupal.orgの事前告知PSA-2026-05-18とSecurity NEXTの報道を参照してください。