Drupal Core: Mehrere Schwachstellen
WID-SEC-2026-2002 · primera publicación 18.06.2026 · actualizado 13.07.2026 · CVSS 9,8
De qué se trata
Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Drupal Core ausnutzen, um beliebigen Programmcode auszuführen, Cross-Site-Scripting-Angriffe durchzuführen, um Daten zu manipulieren, oder um Nutzer auf bösartige Websites umzuleiten.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode auszuführen
- Cross-Site-Scripting-Angriffe durchzuführen
- Daten zu manipulieren
- oder um Nutzer auf bösartige Websites umzuleiten
¿Me afecta?
Afectados según el BSI:
- Open Source Drupal Core <8.5.11
- Open Source Drupal Core <8.6.10
- Open Source Drupal Core <11.3.12
- Open Source Drupal Core <11.2.14
- Open Source Drupal Core <10.6.11
- Open Source Drupal Core <10.5.12
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Drupal Core 8.5.11
- Open Source Drupal Core 8.6.10
- Open Source Drupal Core 11.3.12
- Open Source Drupal Core 11.2.14
- Open Source Drupal Core 10.6.11
- Open Source Drupal Core 10.5.12
¿Se está explotando ya la vulnerabilidad?
- CVE-2019-6340: explotada en la práctica según la CISA, en el catálogo desde el 25.03.2022.
Información y fuentes
- Aviso original del BSI (WID)
- Drupal Security Advisory sa-core-2019-003 vom 2026-06-17 www.drupal.org
- Drupal Security Advisory sa-core-2026-005 vom 2026-06-17 www.drupal.org
- Drupal Security Advisory sa-core-2026-006 vom 2026-06-17 www.drupal.org
- Drupal Security Advisory sa-core-2026-007 vom 2026-06-17 www.drupal.org
- Drupal Security Advisory sa-core-2026-008 vom 2026-06-17 www.drupal.org
- Drupal Security Advisory sa-core-2026-009 vom 2026-06-17 www.drupal.org
CVE: CVE-2026-55803, CVE-2026-55804, CVE-2026-55806, CVE-2026-55807, CVE-2026-55808, CVE-2019-6340
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.