Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-9082 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-05-22 |
| Producent | Drupal |
| Produkt | Core |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | 34.2% (percentyl: 97%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-05-27 |
Opis podatności
Źródło: CISA KEV
Drupal Core zawiera podatność SQL injection, która może umożliwić eskalację uprawnień oraz zdalne wykonanie kodu (RCE) poprzez specjalnie spreparowane żądania wysyłane do API abstrakcji bazy danych.
Wymagane działania
Zastosuj poprawki bezpieczeństwa zgodnie z instrukcjami producenta, zastosuj odpowiednie wytyczne BOD 22-01 dla usług chmurowych lub zaprzestań korzystania z produktu, jeśli środki zaradcze nie są dostępne.
Kogo dotyczy?
Podatność dotyczy produktu Core firmy Drupal. Sprawdź, czy Twoja organizacja korzysta z tego oprogramowania i czy wymaga ono aktualizacji. CISA potwierdziła aktywną eksploatację tej podatności w środowiskach produkcyjnych - termin reakcji dla podmiotów federalnych USA upłynął 2026-05-27.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
