【ITニュース解説】Internet-Exposed Drupal Sites and the September 2026 Extension Advisory

このニュース記事は、世界中で広く使われているウェブサイト作成・管理システムであるDrupal（ドルーパル）のセキュリティに関する重要な情報を提供している。特に、インターネットに直接公開されているDrupalサイトが直面している潜在的なリスクと、それに対する具体的な対策について詳しく解説している。システムエンジニアを目指す者にとって、ウェブアプリケーションのセキュリティは避けて通れないテーマであり、このニュースは実際の脅威と対策の考え方を学ぶ良い機会となる。

まず、記事は2026年9月24日時点でのDrupalサイトの露出状況から話し始める。ZoomEyeという、インターネット上のデバイスやサービスをスキャンするツールを使った調査によると、実に436,286ものDrupalサイトがインターネットから直接アクセス可能な状態にあることが判明した。これは、攻撃者がこれらのサイトを見つけ出すことが容易であることを意味する。ここで重要なのは、この数字は単にDrupalが使われているサイトの数を示しており、その全てに脆弱な部分があるわけではない点だ。しかし、これだけの数のサイトが攻撃の「潜在的な標的」となり得るという事実そのものが、問題の大きさを物語っている。企業や組織がウェブサイトをインターネットに公開している場合、そのサイトが内部のリバースプロキシやVPN（仮想プライベートネットワーク）の背後にあるか、あるいは直接インターネットからアクセスできるポート443（ウェブサイト閲覧に使われる標準的なポート）で応答しているかによって、攻撃を受けるリスクの度合いは大きく異なる。直接アクセス可能なサイトほど、攻撃者は容易に悪用を試みることができるのだ。

ZoomEyeの調査は、ウェブサイトのヘッダー情報やタイトル、応答内容などに含まれるDrupal特有の「指紋（fingerprint）」を検出することで、Drupalサイトかどうかを識別する。しかし、この調査だけでは、具体的にどのサイトにどのような脆弱な「寄与モジュール（contributed modules）」、つまりDrupalの標準機能に追加される形で開発された拡張機能がインストールされているかまでは分からない。なぜなら、これらのモジュールのコードや設定情報は、通常、認証されたユーザーだけがアクセスできる場所に格納されているからだ。攻撃者はまずDrupalサイトを特定し、次に広く知られているモジュールの脆弱性を探して、その悪用を試みるという手順を踏むのが一般的である。ウェブサイトの運営者は、自社サイトが攻撃者のターゲットとなる可能性が非常に高いという結論を導き出すべきであり、個々の脆弱なインスタンスの特定が、攻撃者にとって難しいわけではないことを理解する必要がある。

記事が特に注意を促しているのは、CERT-BUND（ドイツ連邦情報セキュリティ庁）が発行したアドバイザリWID-SEC-2026-3554で指摘されている脆弱性だ。このアドバイザリは、36件ものCVE識別子（共通脆弱性識別子）で特定される脆弱性を対象としており、これらはDrupal本体ではなく、Webform、Webform REST、Cloud、Project Browserなど、非常に多くのDrupalサイトで利用されている寄与プロジェクトに存在する。それぞれのプロジェクトにはすでに脆弱性が修正された新しいバージョン（Webform 6.2.12/6.3.1、Webform REST 4.2.1など）が存在する。このリストの中で特に優先して対策すべきとされているのは、REST & JSON API AuthenticationやStop administrator loginといった「認証関連のプロジェクト」だ。これらのモジュールはアプリケーションの最も外側の層、つまりユーザー認証の仕組みを保護しているため、ここに脆弱性があると、攻撃者は認証なしに悪用を試み、サイトに侵入する可能性が極めて高くなる。

具体的な対策の優先順位付けに関しては、まずインターネットからのリクエストを受け付け、認証なしのトラフィックを処理する公開サイトから着手すべきだと記事は提言する。それぞれのサイトでインストールされている寄与プロジェクトのリストを作成し、アドバイザリに記載されている脆弱性のあるバージョンと比較することが重要だ。脆弱性のあるプロジェクトを複数利用しているサイトは、そうでないサイトよりも優先度が高くなる。さらに、単に脆弱性の数だけで優先順位を決めるのではなく、どれだけインターネットからアクセスされやすいか、つまり「到達可能性」に基づいて判断すべきである。例えば、認証が必要なモジュールの脆弱性よりも、認証なしで利用可能なAPIモジュールの脆弱性の方が、攻撃者にとっての悪用が容易であるため、より危険性が高いと言える。レート制限が設定されていないAPIモジュールは、特に注意が必要である。

最後に、具体的な対応策として、特定された脆弱性のあるプロジェクトを修正版のリリースにアップデートすることが必須である。アップデート後には、実際にディスク上のファイルが変更されたことを確認することが重要だ。また、すべてのアップデートが完了するまでの間、一時的な措置として、リバースプロキシなどの設定を変更し、管理画面やAPIへの認証なしアクセスを制限することも有効なセキュリティ対策となる。これらの対策が実施された後には、再度ZoomEyeのようなツールでサイトの露出状況をスキャンし、脆弱なホストの数がどれだけ減少したかを追跡することが推奨される。これは、対策の効果を検証し、今後のセキュリティ戦略に役立てる上で非常に重要なステップとなる。

まとめると、このニュース記事は、Drupalサイトのセキュリティを維持するためには、インターネットへの露出状況を正確に把握し、寄与モジュールに存在する脆弱性について常に最新情報を入手し、優先順位を付けて迅速にパッチを適用することが不可欠であることを強く訴えかけている。システムエンジニアを目指す者は、このような実際のセキュリティアドバイザリを通して、ウェブアプリケーションの脆弱性がどのように特定され、どのように対策されるべきかを具体的に学ぶことができる。