Worum es geht

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Drupal Core ausnutzen, um eine SQL-Injection durchzuführen, die je nach Datenbankkonfiguration zur Offenlegung von Informationen, zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• eine SQL-Injection durchzuführen
• die je nach Datenbankkonfiguration zur Offenlegung von Informationen
• zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann

Bin ich betroffen?

Betroffen sind laut BSI:

• Open Source Drupal Core <11.3.10
• Open Source Drupal Core <11.2.12
• Open Source Drupal Core <11.1.10
• Open Source Drupal Core <10.6.9
• Open Source Drupal Core <10.5.10
• Open Source Drupal Core <10.4.10
• Open Source Drupal Core <9.5
• Open Source Drupal Core <8.9

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source Drupal Core 11.3.10
• Open Source Drupal Core 11.2.12
• Open Source Drupal Core 11.1.10
• Open Source Drupal Core 10.6.9
• Open Source Drupal Core 10.5.10
• Open Source Drupal Core 10.4.10
• Open Source Drupal Core 9.5
• Open Source Drupal Core 8.9

Wird die Lücke schon ausgenutzt?

• CVE-2026-9082: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 22.05.2026.