Drupal core reflection injection sérülékenysége hitelesítés nélküli távoli kódfuttatást tesz lehetővé (CVE-2026-108097)

Mi történt

A Drupal core nem biztonságos, reflection jellegű gyengeséget (CWE-470) tartalmaz. Ha a támadó befolyásolni tudja azt a bemenetet, amely később osztályokat vagy kódot választ ki, az alkalmazás a fejlesztő szándékától eltérő módon értelmezheti a bemenetet, ami lehetővé teszi, hogy nem megfelelő kódútvonal töltődjön be vagy példányosuljon. A CVSS-vektor a hibát hálózaton keresztül elérhetőnek minősíti: a kihasználáshoz nincs szükség sem jogosultságra, sem felhasználói interakcióra, ugyanakkor a kihasználás nem automatikus, mert a támadás összetettsége magas. A sikeres kihasználás magas hatással jár a bizalmasságra, a sértetlenségre és a rendelkezésre állásra, ami azt jelenti, hogy a támadó a Drupalt futtató webszerver vagy PHP-folyamat környezetében kódot futtathat. Jelenleg nincs ismert aktív kihasználás. A CVE-rekord a kihasználást „nincs” értékkel jelöli, a hiba nem szerepel a CISA KEV katalógusában, és nem rögzítettek nyilvános exploit-közzétételt sem. A Drupal biztonsági közleménye nem említ észlelt támadásokat.

Kit érint

Az érintett kiadások a Drupal core 8.9.0-tól a 10.6.19-nél korábbi verziókig, a Drupal core 11.0.0-tól a 11.3.19-nél korábbi verziókig, a Drupal core 11.4.0-tól a 11.4.10-nél korábbi verziókig, valamint a Drupal core 12.0.0-alpha1-től a 12.0.0-beta2-nél korábbi verziókig tartanak. A Drupal core-t jellemzően nyilvános és belső webhelyek, portálok és e-kereskedelmi platformok futtatják; ezek felhasználói fiókokat, tartalmakat és gyakran adminisztrátori hitelesítő adatokat tárolnak, ezért a távoli kódfuttatás itt az egész üzemeltetési környezetre nézve nagy hatású esemény.

Mit kell most tenni

1. Határozza meg, melyik Drupal core ágat és pontosan melyik verziót futtatja.
2. Frissítse a Drupal core-t az adott ág javított kiadására: 10.6.19, 11.3.19, 11.4.10 vagy 12.0.0-beta2.
3. A Drupal állapotjelentése és a szokásos tesztelési folyamata segítségével ellenőrizze, hogy a frissítés telepítve van-e, és hogy a nyilvános űrlapok, modulok és bővítmények továbbra is a várt módon működnek-e. A Drupal biztonsági közleménye nem ismertet kerülő megoldást, ezért a frissítés az elsődleges védelmi intézkedés. Ha a javítást mégis el kell halasztania, korlátozza a Drupal-gazdagép hálózati elérését, és figyelje a webszerver-folyamat váratlan viselkedését mindaddig, amíg a frissítést telepíteni nem tudja.

A javításon túl

A javításon túl egy nyilvános Drupal-webhely esetében indokolt a biztonsági megerősítést célzó felülvizsgálat is. A Bevezetési és felmérési szolgáltatások keretében tesztelhető, hogy a nem megbízható bemenet hogyan jut el a webhely kódjához, és dokumentálható a csökkentett támadási felület, míg a Menedzselt kiberbiztonsági felügyelet képes észlelni a távoli kódfuttatást követő folyamat- és fióktevékenységeket.