サイバーセキュリティ

Drupalプラグイン「AI Agents」における不正な認証の脆弱性

JVNは、Drupalプラグイン「AI Agents」に不正な認証の脆弱性（CWE-863）が存在すると発表しました。この脆弱性は、AI Agentsのバージョン1.1.4より前、1.2.0から1.2.4、および1.3.0に影響します。悪用されると、ユーザーのパスワードが特定され、アカウントが乗っ取られる可能性があります。開発者は、最新バージョンへのアップデートを推奨しています。この情報は情報セキュリティ早期警戒パートナーシップに基づき報告されました。

最終確認日: 2026-07-21

この発表の要点

Drupalプラグイン「AI Agents」に不正な認証の脆弱性（CWE-863）が存在する。
AI Agentsの特定のバージョン（1.1.4より前、1.2.0-1.2.4、1.3.0）が影響を受ける。
ユーザーのパスワード特定とアカウント乗っ取りのリスクがあり、最新バージョンへのアップデートが推奨される。

企業・自治体への影響

Drupalを利用している企業や組織は、ウェブサイトのセキュリティリスクに直面します。特に「AI Agents」プラグインを使用している場合、ウェブサイトの管理者や情報システム部門は、速やかな対応が求められます。

対応すべきこと

自社が利用するDrupal環境で「AI Agents」プラグインの利用状況を確認する。
対象バージョンを使用している場合、速やかに最新バージョンへアップデートする。
アップデートが困難な場合は、代替策や緩和策の検討を行う。
関係部門（情シス、広報など）へ本脆弱性情報を共有し、対応状況を管理する。

対象部門： 経営者情シス広報

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC
業界	IT・ソフトウェア
発表日	2026-07-21
分類	サイバーセキュリティ

発表された内容

公開日：2026/07/21 最終更新日：2026/07/21

JVN#20592637
Drupalプラグイン「AI Agents」における不正な認証の脆弱性

Drupalが提供するプラグイン「AI Agents」には、不正な認証の脆弱性が存在します。

AI Agents バージョン1.1.4より前
AI Agents バージョン1.2.0から1.2.4
AI Agents バージョン1.3.0

Drupalが提供するプラグイン「AI Agents」には、次の脆弱性が存在します。

不正な認証（CWE-863）

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 7.1
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 基本値 6.5
CVE-2026-13236

ユーザのパスワードを特定され、アカウントを乗っ取られる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。

ベンダ

リンク

Drupal

AI Agents – Less critical – Access bypass – SA-CONTRIB-2026-056

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が開発者とIPAに報告し、JPCERT/CCが開発者と公表の調整を行いました。
報告者：野口晋義氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVNDB-2026-000101

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN20592637/

時系列

2026-07-21　Drupalプラグイン「AI Agents」における不正な認証の脆弱性情報が公開された。

この事例から確認すべきポイント

本発表は、広く利用されているCMSであるDrupalのプラグイン「AI Agents」に存在する認証の脆弱性について警告しています。この種の脆弱性は、攻撃者が正規ユーザーのアカウントを乗っ取る可能性があり、機密情報の漏洩やシステムへの不正アクセスに直結するため、非常に危険です。特に、ウェブサイトの管理者は、自社が利用しているDrupal環境において「AI Agents」プラグインのバージョンを確認し、速やかに最新版へのアップデートを適用することが不可欠です。CVSS基本値が7.1（CVSSv4.0）と評価されていることから、その深刻度が伺えます。定期的なセキュリティパッチの適用と、利用している全てのソフトウェアコンポーネントの脆弱性情報を常に監視する体制の重要性を改めて示唆する事例です。また、情報セキュリティ早期警戒パートナーシップによる報告体制も注目すべき点です。

公式出典

JPCERT/CC

更新履歴

公開日: 2026-07-21 ／最終確認: 2026-07-21

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-07-21