Drupal Erweiterungen: Mehrere Schwachstellen
WID-SEC-2026-3554 · erstmals 24.09.2026 · aktualisiert 22.10.2026 · CVSS 9,8
Worum es geht
Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, um beliebigen Programmcode auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren und offenzulegen oder Cross-Site-Scripting-Angriffe durchzuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode auszuführen
- erweiterte Berechtigungen zu erlangen
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren
- offenzulegen oder Cross-Site-Scripting-Angriffe durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source Drupal Webform <6.2.12
- Open Source Drupal Webform <6.3.1
- Open Source Drupal Cloud <7.0.1
- Open Source Drupal Project Browser <2.0.3
- Open Source Drupal Project Browser <2.1.5
- Open Source Drupal Commerce Decoupled Checkout <1.8.0
- Open Source Drupal Mermaid Diagram Field <1.0.9
- Open Source Drupal CookieCuttr <2.0.3
- Open Source Drupal REST & JSON API Authentication <3.2.0
- Open Source Drupal Stop administrator login <1.6
- Open Source Drupal Tawk.to-Live chat application <3.0.4
- Open Source Drupal Editoria11y Accessibility Checker <2.2.23
und 7 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Drupal Webform 6.2.12
- Open Source Drupal Webform 6.3.1
- Open Source Drupal Cloud 7.0.1
- Open Source Drupal Project Browser 2.0.3
- Open Source Drupal Project Browser 2.1.5
- Open Source Drupal Commerce Decoupled Checkout 1.8.0
- Open Source Drupal Mermaid Diagram Field 1.0.9
- Open Source Drupal CookieCuttr 2.0.3
- Open Source Drupal REST & JSON API Authentication 3.2.0
- Open Source Drupal Stop administrator login 1.6
- Open Source Drupal Tawk.to-Live chat application 3.0.4
- Open Source Drupal Editoria11y Accessibility Checker 2.2.23
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Drupal Security Advisory sa-contrib-2026-154 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-155 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-158 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-158 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-159 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-160 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-161 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-162 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-163 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-164 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-165 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-166 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-167 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-168 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-169 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-170 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-171 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-172 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-173 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-174 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-175 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-176 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-177 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-178 vom 2026-09-23 www.drupal.org
- Drupal Security Advisory sa-contrib-2026-179 vom 2026-09-23 www.drupal.org
und 12 weitere Quellen in der Originalmeldung
CVE: CVE-2026-96355, CVE-2026-96356, CVE-2026-96357, CVE-2026-96358, CVE-2026-96359, CVE-2026-96360, CVE-2026-96361, CVE-2026-96362, CVE-2026-96363, CVE-2026-96364, CVE-2026-96365, CVE-2026-96366, CVE-2026-96367, CVE-2026-96368, CVE-2026-96369, CVE-2026-96370, CVE-2026-96371, CVE-2026-96372, CVE-2026-96373, CVE-2026-96374 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.