Drupalの「AIエージェント」機能に権限バイパスの脆弱性、CVE-2026-13236公開

何が起きたのか #

JPCERT/CCが2026年7月21日、Drupal向けプラグイン「AI Agents」の脆弱性情報(JVN、CVE-2026-13236)を公開した。原因はCWE-863「不正な認証」に分類される権限チェックの不備で、CVSSスコアは3.0で6.5、4.0で7.1。影響を受けるのはバージョン1.1.4未満、1.2.0〜1.2.4、1.3.0。開発元のDrupal公式アドバイザリ(SA-CONTRIB-2026-056)によれば、原因は「エージェントに紐づけたツールがコンテンツエンティティを読み込む際に、必要な権限チェックを十分に行っていない」ことだ。攻撃者がその設定済みエージェントにアクセスできれば、本来見えないはずのコンテンツを読み取れてしまう。修正版は1.1.4/1.2.5/1.3.1。

AIエージェント機能特有の落とし穴 #

このバグ自体は「エージェント設定へのアクセスが前提」という限定条件付きで、Drupal側の深刻度分類も低めだ。だが構造として見逃せないのは、「AIエージェントにツールを持たせる」という新しい設計パターンが、既存の権限モデルの継ぎ目に穴を作りやすいという点だ。従来のCMSでは「ユーザーが何を見られるか」の境界線がリクエスト単位ではっきりしていたが、エージェントは「設定した人」と「実際にツールを実行する文脈」が分離しやすく、どちらの権限で再チェックすべきかが実装時に曖昧になりがちになる。今回はDrupalのコミュニティモジュールだったが、同じ設計上の隙は、社内向けにAIエージェント機能を急いで組み込んでいるあらゆるSaaS・CMS・業務システムに潜んでいる可能性が高い。

運用側が今すぐ確認すべきこと #

対象プラグインを使っている管理者は速やかに1.1.4/1.2.5/1.3.1へ更新すること。加えて、自社でAIエージェント/ツール連携機能を持つ製品を運用・開発している場合は、「ツール実行のたびにユーザー権限で再検証しているか」を今回のケースを教訓に棚卸ししておきたい。エージェントの利便性を急ぐあまり、認可設計のレビューが後回しになっていないか — それがこの一件が突きつける本質的な問いだ。