Ez az oldal a közösségért készül. 
Kövess minket máshol is: 
Ha hasznosnak találod, és szeretnéd, hogy folytatódjon, támogasd a munkát 
A Drupal egy nagyon súlyos core sérülékenységre adott ki javítást, amely a leírás szerint távoli kódfuttatáshoz, jogosultságemeléshez vagy információszivárgáshoz is vezethet. A hiba CVE-2026-9082 azonosítót kapta, és a PostgreSQL-t használó Drupal oldalak érintettek.
A probléma azért különösen érzékeny, mert nem bejelentkezett támadók is ki tudják használni. A támadási felület egy API, amely a Drupal Core-ban az adatbázis lekérdezések biztonságos kezeléséért felel. Ha ez a réteg hibásan működik, akkor a támadó úgy tud adatbázis műveleteket manipulálni, mintha a rendszer maga hajtotta volna végre őket. Ez elsőre „csak” SQL injectionnek hangzik, de a hatás ennél jóval nagyobb lehet, mert az adatbázis szintű hozzáférésből információszivárgás, jogosultság emelés és bizonyos esetekben akár távoli kódfuttatás is következhet. A fontos részlet az, hogy a hiba csak PostgreSQL-es site-okat érint. Vagyis nem minden Drupal telepítés veszélyeztetett, de ahol PostgreSQL fut a háttérben, ott a javítás azonnali prioritás kell legyen.
A legfontosabb lépés a javított verzióra történő frissítés, mégpedig minél hamarabb. PostgreSQL-t használó Drupal oldalaknál ezt nem érdemes halogatni, mert a támadási útvonal anonim módon is nyitva állhat. A régebbi, már támogatás nélküli rendszereknél különösen fontos a hosszabb távú migráció tervbe vétele, mert a kézi patch nem helyettesíti a rendes támogatást.
A Drupal az alábbi verziókhoz adott ki frissítést:
- 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 és 10.4.10.
- A 7-es verzió nem érintett.
A támogatott ágakhoz kiadott frissítések ráadásul Symfony- és Twig-biztonsági javításokat is tartalmaznak, ezért az újabb verziók telepítése különösen fontos.
A régebbi, már támogatás nélküli ágakhoz is készült kézi patch a 9.5 és 8.9 vonalon, de ezek csak best effort megoldások. A Drupal hangsúlyozza, hogy a 11.1.x, 11.0.x, 10.4.x és az az alatti kiadások már end-of-life állapotban vannak, tehát nem kapnak teljes biztonsági lefedettséget.
A Drupal külön kiemelte, hogy az unsupported kiadásokhoz adott javítások korlátozottak, és azokban továbbra is lehetnek más, korábban már ismert sérülékenységek. Ez gyakorlati szempontból azt jelenti, hogy a régi verziókhoz kiadott patch inkább átmeneti mentőöv, nem végleges megoldás.
