Drupalの画像変換モジュールにコード実行の脆弱性―ファイル名の処理に不備

Drupalは2026年10月21日、追加モジュールFfmpeg Image Toolkitの脆弱性CVE-2026-114523を公表しました。影響するのは1.0.3未満で、遠隔からのコード実行につながる問題です。Drupal独自のリスク評価は25点中20点の「Highly critical」です。

このモジュールは、FFmpegを使って画像を変換します。原因は、コマンドラインのFFmpegへ渡すファイル名を十分に無害化していないことです。画像の内容だけでなく、変換処理に渡される名前が攻撃の入口になります。

攻撃の成立には、対象サイトへ画像をアップロードできることが必要です。Drupalを使っているすべてのサイトや、FFmpegを単独で使うすべての環境に影響するという発表ではありません。告知では具体的な被害件数を示しておらず、危険度の評価と実際の侵害確認は分けて読む必要があります。

導入しているサイトの管理者は、モジュールを1.0.3以降へ更新してください。公式の修正版はDrupal 9・10・11に対応しています。制作・保守を委託している場合も、利用中の追加モジュールと適用後のバージョンを確認すると、Drupal本体だけを更新して対応漏れになることを防げます。