What it is about

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Drupal Core ausnutzen, um eine SQL-Injection durchzuführen, die je nach Datenbankkonfiguration zur Offenlegung von Informationen, zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann.

Under what conditions?

Over the network and without logging in. This is the most dangerous combination: attackers can scan reachable devices automatically.

What can happen in the worst case

An attacker could use the vulnerability to

• eine SQL-Injection durchzuführen
• die je nach Datenbankkonfiguration zur Offenlegung von Informationen
• zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann

Am I affected?

Affected according to the BSI:

• Open Source Drupal Core <11.3.10
• Open Source Drupal Core <11.2.12
• Open Source Drupal Core <11.1.10
• Open Source Drupal Core <10.6.9
• Open Source Drupal Core <10.5.10
• Open Source Drupal Core <10.4.10
• Open Source Drupal Core <9.5
• Open Source Drupal Core <8.9

The installed version is usually shown under “Help → About” or in the device’s admin interface.

What helps?

Update to at least:

• Open Source Drupal Core 11.3.10
• Open Source Drupal Core 11.2.12
• Open Source Drupal Core 11.1.10
• Open Source Drupal Core 10.6.9
• Open Source Drupal Core 10.5.10
• Open Source Drupal Core 10.4.10
• Open Source Drupal Core 9.5
• Open Source Drupal Core 8.9

Is the vulnerability already being exploited?

• CVE-2026-9082: exploited in the wild according to CISA, in the catalogue since 22.05.2026.