🚨 CVE-2026-9082 : Vulnerabilidade de Injeção SQL no Drupal Core

Vulnerabilidade de Injeção SQL de Alto Impacto no Drupal Core (PostgreSQL)

📋 Visão Geral

CVE-2026-9082 é uma vulnerabilidade de Injeção SQL na camada de abstração de banco de dados do Drupal Core. Afeta apenas sites que usam PostgreSQL como backend de banco de dados.

A vulnerabilidade permite que atacantes não autenticados realizem injeção SQL arbitrária, potencialmente levando a vazamento de dados, escalonamento de privilégios e, nos piores casos, execução remota de código.

⚠️ Este é um aviso de segurança crítico do mundo real (SA-CORE-2026-004)

🛡️ Gravidade

Avaliação Interna do Drupal: Altamente Crítico (especialmente para sites com PostgreSQL).

📌 Versões Afetadas

Não Afetados:

• Drupal 7.x (todas as versões)
• Sites usando MySQL ou MariaDB
• Sites usando SQLite

🔧 Mitigação

Ação Imediata

Atualize o Drupal Core imediatamente para uma das versões corrigidas listadas acima.

Comandos Rápidos

# Using Composer (recommended)
composer update drupal/core-recommended --with-dependencies

# Or update to a specific secure version
composer require drupal/core:11.3.10

Recomendações Adicionais

• Ative atualizações automáticas se possível
• Revise os logs do banco de dados em busca de consultas suspeitas
• Considere regras temporárias de WAF bloqueando payloads específicos do PostgreSQL se a correção for adiada

🛠 Detalhes Técnicos

• Tipo de Vulnerabilidade: Neutralização Incorreta de Elementos Especiais usados em um Comando SQL ('Injeção SQL')
• Localização: API de Abstração de Banco de Dados do Drupal Core
• Explorável Por: Usuários Anônimos / Não Autenticados
• Gatilho: Certas consultas de banco de dados que usam recursos específicos do PostgreSQL

📚 Referências

• Aviso Oficial: SA-CORE-2026-004
• Entrada CVE: CVE-2026-9082
• Equipe de Segurança do Drupal