Kritische SQL-Injection-Schwachstelle in Drupal Core (CVE-2026-9082)

Was ist passiert?

Es wurde eine kritische Sicherheitslücke mit der Kennung CVE-2026-9082 im Drupal Core entdeckt. Diese Schwachstelle ermöglicht eine sogenannte SQL Injection. Dabei können Angreifer über manipulierte Eingaben direkten Zugriff auf die Datenbank erhalten und diese potenziell auslesen oder verändern.

Wer ist betroffen?

Betroffen sind Installationen von Drupal Core, die bestimmte Versionen nutzen. Dies umfasst die Versionen 8.9.0 bis einschließlich 10.4.9, 10.5.0 bis einschließlich 10.5.9, 10.6.0 bis einschließlich 10.6.8, 11.0.0 bis einschließlich 11.1.9, 11.2.0 bis einschließlich 11.2.11 und 11.3.0 bis einschließlich 11.3.9. Unternehmen, die eine dieser betroffenen Drupal-Versionen einsetzen, sind einem hohen Risiko ausgesetzt.

Wie kritisch ist es?

Die Schwachstelle wird als äußerst kritisch eingestuft, mit einem CVSS-Score von 9.8, was der höchsten Kategorie entspricht. Der EPSS-Wert liegt bei 34 %, was eine signifikante Wahrscheinlichkeit für eine Ausnutzung innerhalb der nächsten 30 Tage anzeigt. Besonders besorgniserregend ist, dass die Schwachstelle seit dem 22. Mai 2026 aktiv ausgenutzt wird und im CISA KEV-Katalog gelistet ist. Dies bedeutet, dass Angreifer diese Lücke bereits aktiv für ihre Zwecke missbrauchen.

Was ist jetzt zu tun?

Prüfen Sie umgehend, welche Version von Drupal Core in Ihrem Unternehmen eingesetzt wird. Falls Sie eine der betroffenen Versionen nutzen, ist ein sofortiges Update auf eine nicht betroffene Version dringend erforderlich. Konkret bedeutet dies ein Update auf mindestens Version 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 oder 11.3.10, je nach Ihrer aktuellen Hauptversion. Stellen Sie sicher, dass alle Systeme auf dem aktuellen Stand sind, um dieses hohe Risiko zu minimieren.

Quellen: NVD (CVE-2026-9082), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.