🚨 CVE-2026-9082：Drupal核心中的SQL注入漏洞

Drupal核心中的高影响力SQL注入漏洞（PostgreSQL）

📋 概述

CVE-2026-9082 是Drupal核心数据库抽象层中的一个SQL注入漏洞。仅影响使用PostgreSQL作为数据库后端的站点。

该漏洞允许未经身份验证的攻击者执行任意SQL注入，可能导致数据泄露、权限提升，最严重情况下可实现远程代码执行。

⚠️ 这是真实世界的严重安全公告（SA-CORE-2026-004）

🛡️ 严重程度

Drupal内部评估：高度严重（尤其对PostgreSQL站点）。

📌 受影响版本

未受影响：

• Drupal 7.x（所有版本）
• 使用 MySQL 或 MariaDB 的站点
• 使用 SQLite 的站点

🔧 缓解措施

立即行动

立即更新Drupal核心至上述列表中的修复版本之一。

快速命令

# 使用 Composer（推荐）
composer update drupal/core-recommended --with-dependencies

# 或者更新至特定安全版本
composer require drupal/core:11.3.10

额外建议

• 如有可能，启用自动更新
• 审查数据库日志，查找可疑查询
• 如果修补延迟，考虑临时使用WAF规则阻止PostgreSQL特定载荷

🛠 技术细节

• 漏洞类型：SQL命令中特殊元素的中和不当（'SQL注入'）
• 位置：Drupal核心数据库抽象API
• 可被利用者：匿名/未经身份验证的用户
• 触发条件：使用PostgreSQL特定功能的某些数据库查询

📚 参考

• 官方公告：SA-CORE-2026-004
• CVE条目：CVE-2026-9082
• Drupal安全团队