詳細は以下をご覧ください。

• drupal.org Security advisories
• Drupal Coreの深刻な脆弱性SA-CORE-2018-004(日本語訳)
• セキュリティアップデートに関するANNAIの考え方

SA-CORE-2018-004に関する対応に関しまして

ANNAIが保守契約を実施している全ての公開システムにおいて、セキュリティアップデートはすでに完了しております。

Drupalでシステムを運営されている方々へ

今回の脆弱性はメンテナンスモードでは防ぐことはできません。すぐにアップデートができない場合は、以下のいずれかの対応を実施してください。

今回の脆弱性はBootstrapと呼ばれるDrupalがサイトへの全てのアクセスを処理する際の初期化処理の中に含まれています。Drupalをメンテナンスモードにした場合でも、サイトにアクセスがあるとこのBoostrapの処理が実施されるため、今回の脆弱性の対象となります。そのため、直ちにアップデートができない場合は、以下の対応を実施してください。

• IP制限、Basic認証、ダイジェスト認証などで「Drupalにアクセスする前」になんらかの認証を設定する

Drupal 6用の修正パッチはこちら

Drupal 6はのセキュリティはDrupal 6 Long Term Supportプロジェクトで公開しています。