米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は5月26日(米国時間)、「Drupal Releases Security Updates｜CISA」において、コントリビュートされたDrupalのプロジェクトやカスタムコードに脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性がある。

脆弱性に関する情報は次のページにまとまっている。

  • Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010｜Drupal.org

    Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010 ｜ Drupal.org

セキュリティアドバイザリでは、次の対応を取ることを推奨している。

  • Drupal 9.3系を使っている場合、Drupal 9.3.14へアップデート
  • Drupal 9.2系を使っている場合、Drupal 9.2.20へアップデート

このセキュリティアドバイザリはDrupalの通常のセキュリティリリーススケジュールにはないものとされている。問題となっているのはDrupalが使っているサードパーティ製のライブラリでありGuzzleに存在している。そのGuzzleはすでに脆弱性に関する情報を公開しているため、Drupalもそれに対応してスケジュール外のセキュリティアドバイザリを公開したと説明している。

CISAは、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。