Aktive Angriffe auf Drupal-Installationen mit PostgreSQL SQL-Injection in Drupal Core ohne Login ausnutzbar

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Eine SQL-Injection im Datenbank-Layer von Drupal Core erlaubt anonymen Angreifern Lese- und Schreibzugriff auf alle Anwendungsdaten. Das Drupal Security Team stuft CVE-2026-9082 mit 23 von 25 Punkten als hochkritisch ein und meldet aktive Angriffe. Updates gibt es für alle gepflegten Zweige.

Das Drupal Security Team hat am 20.05.2026 die Sicherheitsmeldung SA-CORE-2026-004 veröffentlicht und die Lücke mit dem Risikowert 23 von 25 als hochkritisch eingestuft. Zwei Tage zuvor hat ein Vorab-Hinweis das Update angekündigt. Die Schwachstelle führt die Kennung CVE-2026-9082 und betrifft den Datenbank-Layer von Drupal core. Betroffen sind aus­schließ­lich Installationen mit PostgreSQL. Systeme auf MySQL oder MariaDB bleiben von der Injection frei, erhalten über dieselben Releases aber zusätzliche Korrekturen an Symfony und Twig.

Business Planning and Consolidation und Business Warehouse

Kritische SQL-Injection bei SAP

Schwachstelle im Datenbankzugriff

Drupal core nutzt eine Abstraktions-API für den Datenbankzugriff. Die Schicht normalisiert Anfragen und filtert Eingaben, damit Anwendungscode keine unsicheren SQL-Befehle absetzt. Die Schwachstelle setzt diesen Schutz auf PostgreSQL außer Kraft. Über speziell gebaute Anfragen schleusen Angreifer eigene SQL-Anweisungen in die Abfrage ein.

Der Angriff funktioniert auch ohne Authentifizierung, anonyme Besucher reichen für die Ausnutzung aus. Erfolgreiche Angriffe erlauben Lese- und Schreibzugriff auf sämtliche Daten der Anwendung. Das Drupal Security Team nennt als mögliche Folgen den Abfluss vertraulicher Daten sowie in einzelnen Konstellationen eine Rechteausweitung, das Einschleusen von Code und weiterführende Angriffe.

Am 22.05.2026 hat das Team den Risikowert von 20 auf 23 von 25 angehoben. Der Grund liegt in beobachteten Angriffen im Internet. Die Höherstufung dokumentiert aktiv ausgenutzte Angriffe gegen verwundbare Installationen.

Die Korrektur steht für alle gepflegten Zweige bereit. Systeme auf 11.3.x aktualisieren auf Drupal 11.3.10, Installationen auf 11.2.x auf Drupal 11.2.12, der Zweig 10.6.x erhält Drupal 10.6.9 und 10.5.x die Version Drupal 10.5.10. Für die ausgelaufenen Minor-Versionen liefert das Team aufgrund der Schwere der Lücke ebenfalls Korrekturen. Drupal 11.1.x aktualisiert auf 11.1.10; Installationen auf 11.0.x müssen den Branch wechseln. Für den ausgelaufenen Zweig 10.4.x und ältere Versionen steht 10.4.10 bereit. Beim Branch-Wechsel empfiehlt sich vor dem Update eine Kompatibilitätsprüfung.

Für die vollständig ausgelaufenen Versionen Drupal 8 und 9 stellt das Team manuelle Patches als Best-Effort bereit. Ein Upgrade auf einen unterstützten Zweig bleibt aber die belastbare Lösung. Drupal 7 ist von der Schwachstelle nicht betroffen.

Systeme unter dem Schutzdienst Drupal Steward profitieren von einer Filterung auf Plattformebene gegen bekannte Angriffsmuster. Das Update bleibt für diese Installationen nötig, denn weitere Angriffswege sind möglich.

Endpunkte ohne Authentifizierung

Hacker knachen McKinsey-KI „Lilli“ in nur 2 Stunden

Updates für Symfony und Twig betreffen jede Site

Die Releases für die unterstützten Zweige bündeln zusätzliche, mit Drupal koordinierte Sicherheitsupdates für Symfony und Twig. Drupal core nutzt beide Komponenten, daher betrifft ein Teil der Schwachstellen jede Installation unabhängig vom Datenbanksystem. Das Drupal Security Team rät zur Aktualisierung dieser Abhängigkeiten auch ohne PostgreSQL, Details nennt das Team in der Sicherheitsmeldung SA-CORE-2026-004. Zusätzlich sollten Administratoren prüfen, welche Benutzerrollen Twig-Templates bearbeiten, zum Beispiel über Views oder Contrib-Module.

Fazit

Der Risikowert 23 von 25 und die beobachteten Angriffe markieren SA-CORE-2026-004 als akute Bedrohung für verwundbare Installationen. Der Bezug auf PostgreSQL grenzt den Kreis der direkt betroffenen Systeme ein. Die gebündelten Korrekturen an Symfony und Twig erweitern die Tragweite des Updates auf jeden unterstützten Zweig.

(ID:50856875)