Drupal HTTP Client Managerの異常または例外的な状態に対する不適切なチェックの脆弱性により、強引なブラウジングが可能になります。この問題は、HTTP Client Managerの0.0.0から9.3.13より前、10.0.0から10.0.2より前、11.0.0から11.0.1より前に影響します。

CVE-2025-14840は、DrupalのHTTPクライアントマネージャにおける脆弱性であり、強制ブラウジング攻撃を可能にします。これは、HTTPリクエストにおける異常または例外的な条件の不適切なチェックが原因です。攻撃者はこの脆弱性を悪用して、通常は外部からアクセスできない内部リソースにアクセスし、機密情報を漏洩させたり、不正な操作を実行したりする可能性があります。CVSSの深刻度は7.5であり、高いリスクを示しています。この脆弱性は、HTTPクライアントマネージャモジュールの特定のバージョンに影響します。0.0.0から9.3.13以前、10.0.0から10.0.2以前、11.0.0から11.0.1以前です。このリスクを軽減するために、パッチが適用されたバージョンに更新することが重要です。

Organizations and individuals using Drupal Core versions 10.0.0–10.0.2 and 11.0.0 are at risk. This includes websites, applications, and services built on Drupal that rely on the HTTP Client Manager for external communication. Shared hosting environments utilizing these vulnerable Drupal versions are particularly susceptible.

• drupal: Check Drupal core version using drush --version. If the version is within the affected range (10.0.0–10.0.2 or 11.0.0), investigate further. • drupal: Examine Drupal logs (sites/[site]/logs/drupal.log) for unusual HTTP requests or redirects. • generic web: Use curl to test for potential URL redirection vulnerabilities. For example: curl -v https://[yourdrupalsite]/path/to/vulnerable/endpoint and examine the response headers. • generic web: Review access logs for suspicious patterns of requests to internal or unexpected URLs.

1. 2026-01-28Disclosure

   disclosure

1. 予約済み2025-12-17
2. 公開日2026-01-28
3. 更新日2026-02-06
4. EPSS 更新日2026-03-23

CVE-2025-14840の解決策は、HTTPクライアントマネージャモジュールをパッチが適用されたバージョンに更新することです。具体的には、使用しているDrupalのバージョンに応じて、バージョン9.3.13以降、10.0.2以降、または11.0.1以降に更新してください。Drupalは、この脆弱性を修正するためにこれらのアップデートをリリースしています。本番環境に適用する前に、テスト環境でアップデートを実行することをお勧めします。さらに、Drupalサイトのセキュリティ構成を確認して、機密リソースへのアクセス制限や強力なパスワードの使用など、ベストプラクティスが遵守されていることを確認してください。即時の回避策はありませんが、更新はサイトを保護するための最も効果的な方法です。