---

📋 개요

CVE-2026-9082는 Drupal Core의 데이터베이스 추상화 계층에 있는 SQL 인젝션 취약점입니다. 이는 데이터베이스 백엔드로 PostgreSQL을 사용하는 사이트에만 영향을 미칩니다.

이 취약점으로 인해 인증되지 않은 공격자가 임의의 SQL 인젝션을 수행할 수 있으며, 잠재적으로 데이터 유출, 권한 상승, 최악의 경우 원격 코드 실행으로 이어질 수 있습니다.

⚠️ 이것은 실제 중요한 보안 권고입니다 (SA-CORE-2026-004)

---

🛡️ 심각도

메트릭	값
CVSS v3 점수	6.5 (중간)
공격 벡터	네트워크
복잡성	낮음
권한	없음
사용자 상호작용	없음
영향	기밀성 + 무결성

Drupal의 내부 평가: 매우 중요 (특히 PostgreSQL 사이트의 경우)

---

📌 영향 받는 버전

Drupal 버전	영향 범위	패치 버전
Drupal 8.9	8.9.0 → 10.4.9	10.4.10
Drupal 10.5	10.5.0 → 10.5.9	10.5.10
Drupal 10.6	10.6.0 → 10.6.8	10.6.9
Drupal 11.0	11.0.0 → 11.1.9	11.1.10
Drupal 11.2	11.2.0 → 11.2.11	11.2.12
Drupal 11.3	11.3.0 → 11.3.9	11.3.10

영향 받지 않는 버전:

• Drupal 7.x (모든 버전)
• MySQL 또는 MariaDB를 사용하는 사이트
• SQLite를 사용하는 사이트

---

🔧 완화 조치

즉시 조치

즉시 Drupal Core를 위에 나열된 패치 버전 중 하나로 업데이트하십시오.

빠른 명령어

# Composer 사용 (권장)
composer update drupal/core-recommended --with-dependencies

# 또는 특정 보안 버전으로 업데이트
composer require drupal/core:11.3.10

추가 권장 사항

• 가능하면 자동 업데이트 활성화
• 의심스러운 쿼리에 대한 데이터베이스 로그 검토
• 패치가 지연되는 경우 PostgreSQL 특정 페이로드를 차단하는 임시 WAF 규칙 고려

---

🛠 기술 세부 사항

• 취약점 유형: SQL 명령에서 특수 요소의 부적절한 중립화 ('SQL 인젝션')
• 위치: Drupal Core 데이터베이스 추상화 API
• 악용 가능 대상: 익명 / 인증되지 않은 사용자
• 트리거: PostgreSQL 특정 기능을 사용하는 특정 데이터베이스 쿼리

---

📚 참고 자료

• 공식 권고: SA-CORE-2026-004
• CVE 항목: CVE-2026-9082
• Drupal 보안 팀

---