De quoi il s’agit

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Drupal Core ausnutzen, um eine SQL-Injection durchzuführen, die je nach Datenbankkonfiguration zur Offenlegung von Informationen, zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann.

Dans quelles conditions ?

Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• eine SQL-Injection durchzuführen
• die je nach Datenbankkonfiguration zur Offenlegung von Informationen
• zur Erweiterung von Privilegien oder zur potenziellen Ausführung von Remote-Code führen kann

Suis-je concerné ?

Concernés selon le BSI :

• Open Source Drupal Core <11.3.10
• Open Source Drupal Core <11.2.12
• Open Source Drupal Core <11.1.10
• Open Source Drupal Core <10.6.9
• Open Source Drupal Core <10.5.10
• Open Source Drupal Core <10.4.10
• Open Source Drupal Core <9.5
• Open Source Drupal Core <8.9

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Open Source Drupal Core 11.3.10
• Open Source Drupal Core 11.2.12
• Open Source Drupal Core 11.1.10
• Open Source Drupal Core 10.6.9
• Open Source Drupal Core 10.5.10
• Open Source Drupal Core 10.4.10
• Open Source Drupal Core 9.5
• Open Source Drupal Core 8.9

La faille est-elle déjà exploitée ?

• CVE-2026-9082: exploitée dans la nature selon la CISA, au catalogue depuis le 22.05.2026.