Reflection Injection in Drupal Core ermöglicht Remotecodeausführung ohne Authentifizierung (CVE-2026-108097)

Was passiert ist

Drupal Core enthält eine unsichere Reflection-Injection-Schwachstelle (CWE-470). Wenn ein Angreifer Eingaben beeinflussen kann, die später Klassen oder Code auswählen, kann die Anwendung diese Eingaben in einer Weise interpretieren, die von den Entwickelnden nicht beabsichtigt war, sodass ein falscher Codepfad geladen oder instanziiert wird. Der CVSS-Vektor stuft die Schwachstelle als über das Netzwerk erreichbar ein. Es sind weder Berechtigungen noch Benutzerinteraktion erforderlich; die Ausnutzung erfolgt jedoch nicht automatisch, da die Angriffskomplexität hoch ist. Eine erfolgreiche Ausnutzung hat hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Angreifer können dadurch Code im Kontext des Webservers oder des PHP-Prozesses, in dem Drupal läuft, ausführen.

Derzeit sind keine aktiven Angriffe bekannt. Der CVE-Eintrag kennzeichnet die Ausnutzung als „none“ (keine), die Schwachstelle ist nicht im KEV-Katalog der CISA enthalten, und es ist keine öffentliche Exploit-Veröffentlichung dokumentiert. Der Drupal-Sicherheitshinweis erwähnt keine beobachteten Angriffe.

Wer betroffen ist

Betroffen sind folgende Versionsbereiche: Drupal Core 8.9.0 bis vor 10.6.19, Drupal Core 11.0.0 bis vor 11.3.19, Drupal Core 11.4.0 bis vor 11.4.10 und Drupal Core 12.0.0-alpha1 bis vor 12.0.0-beta2. Drupal Core kommt typischerweise auf öffentlichen und internen Websites, Portalen und E-Commerce-Plattformen zum Einsatz. Die Software verwaltet Benutzerkonten, Inhalte und häufig auch administrative Zugangsdaten, sodass eine Remotecodeausführung hier ein Ereignis mit hohen Auswirkungen für die gesamte Hosting-Umgebung ist.

Was jetzt zu tun ist

1. Ermitteln Sie, welchen Drupal-Core-Branch und welche exakte Version Sie einsetzen.
2. Aktualisieren Sie Drupal Core in dem eingesetzten Branch auf die korrigierte Version: 10.6.19, 11.3.19, 11.4.10 oder 12.0.0-beta2.
3. Bestätigen Sie anhand des Drupal-Statusberichts und Ihres üblichen Testverfahrens, dass das Update eingespielt wurde und dass öffentlich erreichbare Formulare, Module und Erweiterungen weiterhin wie erwartet funktionieren.

Der Drupal-Sicherheitshinweis dokumentiert keine Problemumgehung; die Aktualisierung ist daher die wichtigste Schutzmaßnahme. Wenn Sie das Einspielen des Sicherheitsupdates verschieben müssen, schränken Sie den Netzwerkzugriff auf den Drupal-Host ein und überwachen Sie den Webserver-Prozess auf unerwartetes Verhalten, bis das Update eingespielt werden kann.

Über den Patch hinaus

Über den Sicherheitspatch hinaus ist bei einer öffentlichen Drupal-Website eine Härtungsprüfung angebracht. Mit Implementierungs- und Bewertungsleistungen können wir prüfen, wie nicht vertrauenswürdige Eingaben Ihren Code erreichen, und eine reduzierte Angriffsfläche dokumentieren. Mit Managed Detection and Response lassen sich Prozess- und Kontoaktivitäten erkennen, die auf eine Remotecodeausführung folgen.