Drupal Meetup Tokyo #105

2025/12/4

よもやま話

CVE-2025-55182
- Next.js モジュールもクリティカルがあったhttps://www.drupal.org/sa-contrib-2025-122
セキュリティ通知がきた時の対応はどうする?
- 古いシステムでSQLインジェクションが検知された段階でサイト停止、すぐ対策して公開
- セキュリティ通知がきたら即対応 or まず判断、定期リリースに載せる、よく使う機能は即対応など
- WAF があれば安心
過度なクローリング発生 → コスト感をユーザーに公開して、有志の自警団のおかげで解決したことがある
Drupalログイン画面を閉じる、閉じない?
- CDNで社内からのみアクセス可能にしている
- 管理サーバーを分けてログインは管理サーバー側だけ開ける.
- README.md とかが公開されているのがイマイチと思いつつ、対費用効果が・・・
- drupal-paranoia
セキュリティ強化
- https://www.drupal.org/steward
OWASP ZAP
AI チャットボットよりGoogleのように検索させて結果とまとめを表示する方が、体感が良さげ