【ITニュース解説】Why vul.cve Returns Zero for CVE-2026-96365: Reading Exposure Data Honestly

この解説では、2026年9月に公開されたCERT-BUNDの勧告で注目された脆弱性「CVE-2026-96365」について説明する。特に、外部の脆弱性スキャンツール「vul.cve」がこの脆弱性に対して「0」という結果を返す現象の背後にある意味と、システムエンジニアが学ぶべき重要な点に焦点を当てる。この「0」という結果は、一見すると安心できる数字に見えるかもしれないが、実際にはシステムのセキュリティを評価する上で、より深い理解と注意が必要であることを示唆している。

CVE-2026-96365は、CERT-BUNDによって「高リスク」と評価された脆弱性の一つで、Drupalという人気のコンテンツ管理システム（CMS）の16種類の「コントリビュートプロジェクト」、つまりDrupalの機能を追加するための拡張モジュール群に影響を及ぼす。この脆弱性は非常に危険度が高く、共通脆弱性評価システム（CVSS v3.1）の基本スコアは9.8（最大10点）、時間的スコアも8.5と、深刻な問題であることが示されている。CERT-BUNDは、この脆弱性が悪用される可能性と、実際に被害が発生した場合の損害を最高レベルの4段階評価で「4」と評価しており、その深刻さを強調している。

この脆弱性は、外部からネットワークを通じて悪用される可能性があり、悪用された場合には、システム上で任意のコードが実行されたり、通常よりも高い権限が奪われたり、セキュリティ対策が迂回されたり、データが不正に操作・開示されたり、クロスサイトスクリプティング（XSS）攻撃が行われたりする可能性がある。しかし、この脆弱性の具体的な欠陥情報は公開されていない。この情報不足が、外部の脆弱性スキャンツールによる検出を難しくしている。スキャナーは、対象のサービスが外部に提示する特徴を基に脆弱性を特定するが、Drupalのコントリビュートモジュールにおける欠陥は、外部から明確な「指紋」として現れない場合が多く、そのため外部スキャンでは発見されにくいのだ。

影響を受けるDrupalのプロジェクトには、Webform、Webform REST、Cloud、Project Browser、Commerce Decoupled Checkout、Mermaid Diagram Field、CookieCuttr、REST & API Authentication、Stop administrator login、Tawk.to Live chat application、Editoria11y Accessibility Checker、AI CKEditor、Combined image style、CSS Usage Analyzer、Smart Content、Diba carousel sliderといった多数のモジュールが含まれている。これらは、特定のバージョンに脆弱性があり、修正版へのアップデートが必要となる。

記事では、ZoomEyeという外部スキャンサービスを使って二つの検索が行われた。一つは「app="Drupal"」という条件で、インターネット上に公開されているDrupalアプリケーションの数を調べるもので、436,403件が検出された。これは、Drupalが広く利用されていることを示す。もう一つは「vul.cve="CVE-2026-96365"」という条件で、特定のCVE-2026-96365脆弱性が公開されているシステムを検出するものであった。この検索結果は「0」だった。この「0」という結果は、この脆弱性が外部に公開されたサービスとしてインデックスされていないことを意味する。これは新しいCVEの場合によく見られる現象であり、この数字が「脆弱なシステムが存在しない」ことを意味するわけではない。むしろ、スキャンツールが検知できないだけで、多くのDrupalシステムが実際に脆弱なモジュールを稼働させている可能性があるのだ。

このような状況でシステムを保護するためには、二つの重要なステップがある。まず、ZoomEyeのような外部スキャンで得られた「Drupalアプリケーションの総数」は、自社のDrupalシステムが脆弱性の影響を受ける可能性があるかどうかを確認するための、レビュー対象となるシステムの規模を把握するのに役立つ。次に、記事にリストされている「影響を受けるモジュール」を確認し、自社のDrupalシステムでそれらのモジュールが使用されているかを内部で調査する必要がある。もし使用されている場合は、それぞれのモジュールを修正済みのバージョンに速やかにアップデートすることが必須となる。外部のインターネットから見える情報と、自社のシステム内部のインベントリ情報を分けて考えることが、正確なセキュリティ対策には不可欠である。

「vul.cve」が「0」を返すという現象は、外部スキャンツールがすべての脆弱性を検出できるわけではないという現実を浮き彫りにする。特に、特定のアプリケーション内部のモジュールに起因する脆弱性は、外部からの「指紋」が少ないために見過ごされやすい。システムエンジニアは、外部からの情報だけでなく、自社システムがどのようなソフトウェアやモジュールで構成されているかを正確に把握し、公開される脆弱性情報に基づいて自律的にリスクを評価し、適切な対策を講じる能力が求められる。これは、システムのセキュリティを確保するための基本的ながらも非常に重要な姿勢である。