CVE-2026-9082: SQL Injection critica in Drupal Core — aggiorna subito

CVE-2026-9082: SQL Injection critica in Drupal Core — aggiorna subito

In breve

Il 20 maggio 2026 è stata pubblicata CVE-2026-9082 [1], una vulnerabilità di SQL injection in Drupal Core con punteggio CVSS di 9,8 su 10 e gravità Critical secondo l'NVD [1]. Colpisce le organizzazioni che utilizzano Drupal come sistema di gestione dei contenuti ed è catalogata nel repository delle vulnerabilità sfruttate note di CISA (KEV) [2], il che conferma che è già oggetto di sfruttamento attivo. Se il tuo sito web o la tua intranet gira su Drupal, aggiorna Drupal Core oggi stesso.

---

Cos'è e perché è importante

L'SQL injection è una delle tecniche di attacco più antiche e, allo stesso tempo, più devastanti: un attaccante inserisce comandi malevoli nelle query che un'applicazione invia al proprio database. In questo caso, la vulnerabilità risiede nella API di astrazione del database del nucleo di Drupal, il che significa che il difetto non si trova in un modulo di terze parti che puoi semplicemente disattivare, bensì nel cuore stesso del sistema.

Secondo l'analisi di OCIRIA, uno sfruttamento riuscito consente escalation di privilegi ed esecuzione di codice remoto: un attaccante esterno potrebbe, senza necessità di credenziali valide, leggere e modificare l'intero database, creare utenti amministratori o installare codice malevolo sul server. L'impatto potenziale spazia dalla fuga di dati dei clienti fino al compromesso totale del sito e dei sistemi ad esso collegati.

La gravità non è una valutazione soggettiva: il punteggio ufficiale CVSS di 9,8 [1] lo colloca nella soglia più alta della scala, e l'inclusione nel catalogo KEV di CISA [2] conferma che gli attaccanti stanno già sfruttando questa vulnerabilità in ambienti reali.

---

Chi ne è colpito

La vulnerabilità è presente nelle seguenti versioni di Drupal Core [1]:

• Dalla 8.9.0 fino a prima della 10.4.10
• Dalla 10.5.0 fino a prima della 10.5.10
• Dalla 10.6.0 fino a prima della 10.6.9
• Dalla 11.0.0 fino a prima della 11.1.10
• Dalla 11.2.0 fino a prima della 11.2.12
• Dalla 11.3.0 fino a prima della 11.3.10

In pratica, questo colpisce qualsiasi organizzazione — azienda, pubblica amministrazione, PMI, associazione — che pubblichi contenuti, gestisca un negozio online, una intranet o qualsiasi portale costruito su Drupal senza aver applicato le relative patch. Drupal è uno dei sistemi di gestione dei contenuti più utilizzati in Spagna in ambito aziendale e istituzionale.

---

Come sapere se sei vulnerabile

Il primo passo è conoscere quale versione di Drupal Core è installata in ciascuno dei tuoi ambienti (produzione, preproduzione, sviluppo). Puoi verificarlo nel pannello di amministrazione di Drupal, al percorso /admin/reports/status, oppure chiedendo direttamente al tuo fornitore di hosting o sviluppo web.

Confronta la versione installata con gli intervalli interessati pubblicati dall'NVD [1]. Se la tua versione rientra in uno di questi intervalli e non hai ancora applicato la patch, devi considerarti esposto. È inoltre consigliabile controllare i log di accesso al server web e al database per individuare pattern anomali di query che potrebbero indicare precedenti tentativi di sfruttamento.

Esaminare la superficie esposta a internet della tua organizzazione — quali servizi e applicazioni sono accessibili dall'esterno — è un passo fondamentale per stabilire le priorità su dove intervenire per primo.

---

Come proteggersi

1. Aggiorna Drupal Core immediatamente alla versione con patch corrispondente al tuo ramo [1]. Questa è l'unica misura definitiva e non deve essere rimandata.

2. Verifica gli accessi recenti al database. Controlla se ci sono state query insolite, creazione di utenti non autorizzati o modifiche alla configurazione del sistema a partire dalla data di pubblicazione (20 maggio 2026) [1].

3. Limita l'accesso all'amministrazione di Drupal per IP o tramite autenticazione a due fattori mentre si prepara l'aggiornamento.

4. Coordinati con il tuo fornitore se la manutenzione di Drupal è esternalizzata: richiedi conferma scritta che la patch sia stata applicata e in che data.

5. Controlla i moduli di terze parti per assicurarti che siano anch'essi aggiornati; sebbene la vulnerabilità principale riguardi il nucleo, i moduli non aggiornati ampliano la superficie di rischio.

6. Valuta l'adozione di un WAF (web application firewall) come misura aggiuntiva di contenimento, non come sostituto della patch.

---

Domande frequenti

È urgente anche se il mio sito non contiene dati sensibili?

Sì. Anche un sito web apparentemente semplice può fungere da punto d'ingresso per attaccare altri sistemi interni, inviare spam o ospitare contenuti malevoli che danneggiano la tua reputazione.

Basta fare un backup?

Il backup è necessario prima di aggiornare, ma non protegge dall'attacco: ti permette solo di recuperare la situazione se qualcosa va storto durante l'aggiornamento.

Il mio fornitore di hosting applica la patch automaticamente?

Dipende dal fornitore e dal contratto. Non darlo per scontato: richiedi una conferma esplicita.

Come faccio a sapere se sono già stato compromesso?

Gli indizi possono essere sottili. Controlla gli accessi amministrativi, i nuovi utenti e le modifiche ai contenuti non autorizzate. In caso di dubbio, richiedi una revisione forense prima di applicare la patch.

Fonti

• [1] NVD — Scheda ufficiale di CVE-2026-9082: nvd.nist.gov/vuln/detail/CVE-2026-9082
• [2] CISA — Catalogo delle vulnerabilità sfruttate note (KEV): cisa.gov/known-exploited-vulnerabilities-catalog