🚨 CVE-2026-9082 : Уязвимость SQL-инъекции в Drupal Core

Критическая уязвимость SQL-инъекции в Drupal Core (PostgreSQL)

📋 Обзор

CVE-2026-9082 — это уязвимость SQL-инъекции в уровне абстракции базы данных Drupal Core. Она затрагивает только сайты, использующие PostgreSQL в качестве сервера баз данных.

Уязвимость позволяет неаутентифицированным атакующим выполнять произвольные SQL-инъекции, что может привести к утечке данных, повышению привилегий и, в худшем случае, к удалённому выполнению кода.

⚠️ Это реальное критическое предупреждение безопасности (SA-CORE-2026-004)

🛡️ Серьёзность

Внутренняя оценка Drupal: Критическая (особенно для сайтов на PostgreSQL).

📌 Затронутые версии

Не затронуты:

• Drupal 7.x (все версии)
• Сайты на MySQL или MariaDB
• Сайты на SQLite

🔧 Смягчение

Немедленные действия

Немедленно обновите Drupal Core до одной из исправленных версий, указанных выше.

Быстрые команды

# Используя Composer (рекомендуется)
composer update drupal/core-recommended --with-dependencies

# Или обновление до конкретной безопасной версии
composer require drupal/core:11.3.10

Дополнительные рекомендации

• Включите автоматические обновления, если это возможно
• Просмотрите журналы базы данных на предмет подозрительных запросов
• Рассмотрите временные правила WAF, блокирующие специфичные для PostgreSQL нагрузки, если установка патча задерживается

🛠 Технические детали

• Тип уязвимости: Некорректная нейтрализация специальных элементов, используемых в SQL-команде ('SQL Injection')
• Расположение: API абстракции базы данных Drupal Core
• Доступность для эксплуатации: Анонимные / неаутентифицированные пользователи
• Триггер: Некоторые запросы к базе данных, использующие специфичные для PostgreSQL функции

📚 Ссылки

• Официальное предупреждение: SA-CORE-2026-004
• Запись CVE: CVE-2026-9082
• Команда безопасности Drupal