Kritisches Drupal-Sicherheitsupdate

Die Sicherheit einer Website hängt maßgeblich davon ab, wie konsequent Sicherheitsupdates eingespielt werden. Gerade bei Content Management Systemen wie Drupal können ungepatchte Schwachstellen innerhalb kürzester Zeit zu erfolgreichen Angriffen führen.

Das aktuelle Sicherheitsupdate für Drupal Core vom 20. Mai 2026 zeigt eindrucksvoll, warum zeitnahes Patch-Management für Unternehmen und Organisationen unverzichtbar ist.

Das Drupal Security Team hat mit der Sicherheitsmeldung SA-CORE-2026-004 eine als hochkritisch eingestufte Schwachstelle öffentlich gemacht. Die Sicherheitslücke trägt die Kennung CVE-2026-9082 und wird inzwischen aktiv von Angreifern ausgenutzt. Besonders gefährlich: Die Schwachstelle ermöglicht Angriffe ohne vorherige Authentifizierung und kann dazu führen, dass Angreifer vollständigen Zugriff auf Anwendungsdaten erhalten.

Was ist bekannt?

Bereits zwei Tage vor der Veröffentlichung hatte das Drupal Security Team ungewöhnlich deutlich auf ein bevorstehendes Sicherheitsupdate hingewiesen. Administratoren wurden ausdrücklich aufgefordert, Zeit für die Installation einzuplanen, da erfahrungsgemäß innerhalb weniger Stunden nach Veröffentlichung eines Patches funktionsfähige Exploits entwickelt werden können.

Die Warnung erwies sich als berechtigt. Nach Veröffentlichung der Details wurde bekannt, dass die Schwachstelle im Datenbank-Layer von Drupal Core angesiedelt ist. Das Drupal Security Team bewertet das Risiko mit 23 von 25 möglichen Punkten und damit als hochriskant.

Die technische Ursache: SQL-Injection im Datenbank-Layer

Drupal verwendet eine Datenbank-Abtraktionsschicht, die Datenbankzugriffe vereinheitlicht und gleichzeitig von klassischen SQL-Injection-Angriffen schützen soll. Normalerweise werden Benutzereingaben dabei verarbeitet und gefiltert, bevor sie an die Datenbank weitergegeben werden.

Durch die Sicherheitslücke konnte dieser Schutzmechanismus unter bestimmten Bedingungen umgangen werden. Die Schwachstelle betrifft ausschließlich Installationen, die PostgreSQL als Datenbanksystem verwenden.

Durch speziell konstruierte Anfragen können Angreifer eigene SQL-Befehle in Datenbankabfragen einschleusen. Da die Sicherheitslücke ohne Anmeldung ausgenutzt werden kann, genügt bereits der Aufruf einer entsprechend präparierten Anfrage über das Internet.

Derartige SQL-Injection-Schwachstellen gehören seit vielen Jahren zu den gefährlichsten Lücken, die in Webanwendungen auftreten können. Sie ermöglichen Angreifern direkten Einfluss auf Datenbankoperationen und können weitreichende Folgen haben.

Welche Auswirkungen sind möglich?

Laut Drupal Security Team können erfolgreiche Angriffe fatale Konsequenzen haben:

• Auslesen sämtlicher Anwendungsdaten
• Manipulation oder Löschung von Datenbankinhalten
• Zugriff auf vertrauliche Informationen
• Rechteausweitung innerhalb der Anwendung
• Vorbereitung weiterer Angriffe auf die Infrastruktur
• Einschleusen von Schadcode unter bestimmten Konstellationen

Besonders kritisch ist dabei die Kombination aus fehlender Authentifizierung und den umfangreichen Zugriffsrechten, die durch die Schwachstelle erlangt werden können. Für Angreifer stellt dies ein äußerst attraktives Angriffsziel dar.

Nicht jede Drupal-Installation ist direkt betroffen

Die eigentliche SQL-Injection betrifft ausschließlich Drupal-Installationen mit PostgreSQL-Datenbanken. Websites, die MySQL oder MariaDB verwenden, sind gegen diesen konkreten Angriffspfad nicht verwundbar.

Dennoch sollten auch Websitebetreiber, die Drupal nicht mit PostgreSQL einsetzen, das Sicherheitsupdate zeitnah installieren. Die veröffentlichten Patches enthalten zusätzliche Sicherheitskorrekturen für wichtige Drupal-Komponenten.

Sicherheitsupdates für Symfony und Twig betreffen alle Installationen

Die aktuellen Drupal-Core-Releases enthalten nicht nur Patches für die bekannte Schwachstelle. Gleichzeitig wurden koordinierte Sicherheitsupdates für die Framework-Komponenten Symfony und Twig integriert.

Symfony stellt zahlreiche Kernfunktionen für Routing, HTTP-Verarbeitung, Sessions, Authentifizierung und weitere Infrastrukturaufgaben bereit. Sicherheitsprobleme innerhalb des Frameworks können daher potenziell jede Drupal-Installation betreffen.

Twig ist die Template-Engine von Drupal und für die Darstellung von Inhalten verantwortlich. Fehler in Template-Systemen können unter Umständen die Ausführung unerwünschten Codes ermöglichen oder Sicherheitsmechanismen umgehen.

Welche Drupal-Versionen erhalten Updates?

Für alle unterstützen Hauptversionen wurden Sicherheitsupdates bereitgestellt:

• Drupal 11.3.x → Drupal 11.3.10
• Drupal 11.2.x → Drupal 11.2.12
• Drupal 10.6.x → Drupal 10.6.9
• Drupal 10.5.x → Drupal 10.5.10

Aufgrund der außergewöhnlichen Schwere der Sicherheitslücke werden zusätzlich Updates für bereits ausgelaufene Minor-Versionen veröffentlicht:

• Drupal 11.1.x → Drupal 11.1.10
• Drupal 10.4.x → Drupal 10.4.10

Für Drupal 8 und Drupal 9 stellt das Sicherheitsteam lediglich manuelle Patches im Rahmen eines Best-Effort-Supports bereit. Langfristig empfiehlt Drupal jedoch dringend ein Upgrade auf eine aktuell unterstützte Version.

Drupal 7 ist von der Schwachstelle nicht betroffen.

Warum schnelle Sicherheitsupdates entscheidend sind

Viele erfolgreiche Cyberangriffe basieren nicht auf unbekannten Zero-Day-Schwachstellen, sondern auf längst veröffentlichten Sicherheitslücken, für die bereits Updates existieren.

Sobald Hersteller einen Patch veröffentlichen, analysieren Angreifer häufig die vorgenommenen Änderungen, um daraus die zugrunde liegende Schwachstelle abzuleiten. Anschließend werden automatisierte Exploits entwickelt, die innerhalb kürzester Zeit weltweit nach ungepatchten Systemen suchen.

Gerade öffentlich erreichbare Websites stehen dabei permanent unter Beobachtung automatisierter Scan-Systeme. Zwischen Veröffentlichung eines Sicherheitsupdates und den ersten Angriffen liegen oft nur wenige Stunden. Unternehmen, die Updates wochen- oder monatelang aufschieben, erhöhen ihr Risiko daher erheblich.

Ein professionelles Patch-Management sollte deshalb folgende Grundsätze berücksichtigen:

• Sicherheitsmeldungen von Herstellern aktiv verfolgen
• Kritische Updtes priorisiert behandeln
• Regelmäßige Wartungsfenster etablieren
• Vor Updates aktuelle Backups erstellen
• Nach Updates Funktionsprüfung durchführen
• Veraltete und nicht mehr unterstützte Software zeitnah ablösen

Unsere Empfehlung lautet daher: Installieren Sie die aktuellen Drupal-Core-Updates so schnell wie möglich und überprüfen Sie gleichzeitig den allgemeinen Patch-Stand Ihrer Website. Sicherheitsupdates gehören zu den wirksamsten Maßnahmen, um Websites und Anwendungen langfristig vor erfolgreichen Cyberangriffen zu schützen.