CVE-2026-9082: Kritische SQL-Injection in Drupal Core — jetzt aktualisieren
CVE-2026-9082 ist eine kritische Schwachstelle (CVSS 9.8) durch SQL Injection in Drupal Core, die aktiv ausgenutzt wird. Erfahren Sie, wie Sie Ihre Website schützen können.
CVE-2026-9082: Kritische SQL-Injection in Drupal Core — jetzt aktualisieren
Kurz gefasst
Am 20. Mai 2026 wurde CVE-2026-9082 [1] veröffentlicht, eine SQL-Injection-Schwachstelle in Drupal Core mit einem CVSS-Score von 9,8 von 10 und dem Schweregrad Critical laut NVD [1]. Sie betrifft Organisationen, die Drupal als Content-Management-System verwenden, und ist im Katalog der aktiv ausgenutzten Schwachstellen von CISA (KEV) [2] verzeichnet, was bestätigt, dass sie bereits aktiv ausgenutzt wird. Wenn Ihre Website oder Ihr Intranet auf Drupal läuft, aktualisieren Sie Drupal Core noch heute.
Was es ist und warum es wichtig ist
SQL-Injection ist eine der ältesten und zugleich verheerendsten Angriffstechniken: Ein Angreifer schleust bösartige Befehle in die Abfragen ein, die eine Anwendung an ihre Datenbank sendet. In diesem Fall liegt die Schwachstelle in der Datenbank-Abstraktions-API des Drupal-Kerns, was bedeutet, dass der Fehler nicht in einem Drittanbieter-Modul liegt, das man einfach deaktivieren könnte, sondern im Herzstück des Systems selbst.
Laut der Analyse von OCIRIA ermöglicht eine erfolgreiche Ausnutzung Privilege Escalation und Remote Code Execution: Ein externer Angreifer könnte, ohne gültige Zugangsdaten zu benötigen, die gesamte Datenbank auslesen und verändern, Administratorkonten erstellen oder bösartigen Code auf dem Server installieren. Die potenziellen Auswirkungen reichen von der Offenlegung von Kundendaten bis zur vollständigen Kompromittierung der Website und der mit ihr verbundenen Systeme.
Die Schwere ist keine subjektive Einschätzung: Der offizielle CVSS-Score von 9,8 [1] platziert sie auf der höchsten Stufe der Skala, und die Aufnahme in den KEV-Katalog von CISA [2] bestätigt, dass Angreifer diese Schwachstelle bereits in realen Umgebungen ausnutzen.
Wen betrifft es
Die Schwachstelle ist in den folgenden Versionen von Drupal Core vorhanden [1]:
- Von 8.9.0 bis vor 10.4.10
- Von 10.5.0 bis vor 10.5.10
- Von 10.6.0 bis vor 10.6.9
- Von 11.0.0 bis vor 11.1.10
- Von 11.2.0 bis vor 11.2.12
- Von 11.3.0 bis vor 11.3.10
In der Praxis betrifft dies jede Organisation — Unternehmen, öffentliche Verwaltung, KMU, Verein — die Inhalte veröffentlicht, einen Online-Shop, ein Intranet oder ein beliebiges auf Drupal basierendes Portal betreibt, ohne die entsprechenden Patches eingespielt zu haben. Drupal ist eines der am häufigsten genutzten Content-Management-Systeme in Unternehmens- und institutionellen Umgebungen.
Wie Sie feststellen, ob Sie betroffen sind
Der erste Schritt besteht darin, herauszufinden, welche Version von Drupal Core in jeder Ihrer Umgebungen (Produktion, Präproduktion, Entwicklung) installiert ist. Sie können dies im Administrationsbereich von Drupal unter dem Pfad /admin/reports/status einsehen oder direkt bei Ihrem Hosting- oder Webentwicklungsanbieter nachfragen.
Vergleichen Sie die installierte Version mit den vom NVD [1] veröffentlichten betroffenen Bereichen. Wenn Ihre Version innerhalb eines dieser Bereiche liegt und Sie den Patch noch nicht eingespielt haben, sollten Sie sich als gefährdet betrachten. Es ist außerdem ratsam, die Zugriffsprotokolle des Webservers und der Datenbank auf ungewöhnliche Abfragemuster zu überprüfen, die auf frühere Ausnutzungsversuche hindeuten könnten.
Die Überprüfung der dem Internet ausgesetzten Angriffsfläche Ihrer Organisation — welche Dienste und Anwendungen von außen erreichbar sind — ist ein grundlegender Schritt, um zu priorisieren, wo zuerst gehandelt werden muss.
Wie Sie sich schützen
1. Aktualisieren Sie Drupal Core sofort auf die für Ihren Zweig entsprechende gepatchte Version [1]. Dies ist die einzige endgültige Maßnahme und darf nicht aufgeschoben werden.
2. Überprüfen Sie die letzten Datenbankzugriffe. Kontrollieren Sie, ob es ungewöhnliche Abfragen, die Erstellung nicht autorisierter Benutzer oder Änderungen an der Systemkonfiguration seit dem Veröffentlichungsdatum (20. Mai 2026) gab [1].
3. Beschränken Sie den Zugriff auf die Drupal-Administration nach IP-Adresse oder mittels Zwei-Faktor-Authentifizierung, während die Aktualisierung vorbereitet wird.
4. Koordinieren Sie sich mit Ihrem Dienstleister, falls die Wartung von Drupal ausgelagert ist: Fordern Sie eine schriftliche Bestätigung, dass der Patch angewendet wurde und an welchem Datum dies geschah.
5. Überprüfen Sie Drittanbieter-Module, um sicherzustellen, dass auch diese aktualisiert sind; auch wenn die Hauptschwachstelle im Kern liegt, vergrößern veraltete Module die Angriffsfläche.
6. Erwägen Sie eine WAF (Web Application Firewall) als zusätzliche Eindämmungsmaßnahme, nicht als Ersatz für den Patch.
Häufig gestellte Fragen
Ist es dringend, wenn meine Website keine sensiblen Daten enthält?
Ja. Selbst eine scheinbar einfache Website kann als Einfallstor dienen, um andere interne Systeme anzugreifen, Spam zu versenden oder bösartige Inhalte zu hosten, die Ihrem Ruf schaden.
Reicht es aus, ein Backup zu erstellen?
Ein Backup ist vor der Aktualisierung notwendig, schützt jedoch nicht vor dem Angriff selbst: Es ermöglicht Ihnen lediglich, sich zu erholen, falls während der Aktualisierung etwas schiefgeht.
Spielt mein Hosting-Anbieter den Patch automatisch ein?
Das hängt vom Anbieter und vom Vertrag ab. Gehen Sie nicht einfach davon aus — fordern Sie eine ausdrückliche Bestätigung an.
Wie erkenne ich, ob ich bereits kompromittiert wurde?
Die Anzeichen können subtil sein. Überprüfen Sie Administrationszugriffe, neue Benutzer und nicht autorisierte Inhaltsänderungen. Wenn Sie Zweifel haben, fordern Sie eine forensische Untersuchung an, bevor Sie den Patch anwenden.
Quellen
- [1] NVD — Offizieller Eintrag zu CVE-2026-9082: nvd.nist.gov/vuln/detail/CVE-2026-9082
- [2] CISA — Katalog bekannter ausgenutzter Schwachstellen (KEV): cisa.gov/known-exploited-vulnerabilities-catalog