2SDnjc1JCzF
Drupal закрыл SQL-инъекцию, которую могут использовать без аккаунта
Команда Drupal выпустила критическое обновление ядра для уязвимости CVE-2026-9082. Проблема получила рейтинг Highly critical 20/25 и связана с SQL-инъекцией в API абстракции базы данных Drupal. Атакующему не нужна учетная запись: специально сформированный запрос может привести к произвольной SQL-инъекции на сайтах, использующих PostgreSQL.
Уязвимость затрагивает Drupal 8.9 и новее, но важная оговорка - именно сайты на PostgreSQL. Для них последствия могут включать раскрытие информации, повышение привилегий, удаленное выполнение кода и другие атаки в зависимости от конфигурации сайта. Drupal 7 не затронут.
Исправления вышли для поддерживаемых веток: Drupal 11.3.10, 11.2.12, 10.6.9 и 10.5.10. Для устаревших веток 11.1.x, 11.0.x и 10.4.x команда проекта также выпустила обновления как исключение из-за серьезности проблемы, но подчеркнула, что эти версии уже находятся вне стандартной поддержки.
С Drupal 8 и 9 ситуация хуже: полноценные релизы для них не выпускаются, потому что обе ветки сняты с поддержки. Для Drupal 9.5 и 8.9 доступны только ручные патчи «best effort», которые могут помочь снизить риск, но не закрывают остальные уже известные проблемы безопасности старых версий.
В этот же релиз вошли обновления зависимостей Symfony и Twig. Drupal предупреждает, что даже если конкретный сайт не использует PostgreSQL и не попадает под основную SQL-инъекцию, обновление все равно рекомендуется: часть upstream-уязвимостей может затрагивать сайты через конфигурацию и contrib-модули.
Главный риск для администраторов - скорость появления эксплойтов. Еще до публикации патчей Drupal Security Team предупреждала, что рабочие атаки могут быть подготовлены в течение часов или дней после релиза. Поэтому сайтам на Drupal нужно не просто «запланировать обновление», а проверить версию ядра, базу данных, зависимости и применить патчи как можно быстрее.
похожие материалы
Максим Степченков и Ева Беляева обсудили зависимость от поставщиков ИБ в «Belyaev_Podcast»
Когда единая экосистема безопасности становится зависимостью, а замена продукта требует пересмотра бюджета и процессов?
ИБ-Пророки обсудили будущее информационной безопасности на форуме GISDAYS
2 октября в Москве в рамках IX Ежегодного форума по информационной безопасности и ИТ GISDAYS* 2026 состоялась дискуссия авторов проекта «ИБ-Пророк».
DDoS-атаки на российский бизнес подскочили на 61% - хакеры разгоняют мощность до 3 Тбит/с
Количество DDoS-атак на российские компании в III квартале 2026 года выросло на 61% по сравнению с тем же периодом прошлого года.
Последствия удара по дата-центру «Яндекса» под Рязанью: объект остановлен, облачные сервисы дали сбой
В ночь на 8 октября беспилотники атаковали дата-центр «Яндекса» в Сасово Рязанской области.
Российским разработчикам игр дадут 5 млрд рублей и начнут готовить их к IPO
В России запускают венчурный фонд Indie GO Fund II объемом 5 млрд рублей для поддержки разработчиков видеоигр, которые планируют масштабироваться за пределами российского рынка и в перспективе выйти на биржу.
Департамент здравоохранения Томской области перевёл медицинские системы на VMmanager
В Департаменте здравоохранения Томской области завершилась модернизация ИТ-инфраструктуры на базе платформы виртуализации VMmanager от компании ISPsystem (входит в «Группу Астра»).
В 3 квартале 2026 года с DDoS-атаками столкнулись ритейлеры, логисты и телеком
В 3 квартале 2026 года хакеры значительно усилили DDoS-атаки на российские компании, стремясь получить коммерческую выгоду.
ИнфоТеКС и «Флант» подтвердили совместимость продуктов
Компании «ИнфоТеКС» и «Флант» подтвердили совместимость и корректную совместную работу программного обеспечения Deckhouse Stronghold 1.
RuBackup Catalog Granular Recovery от «Группы Астра»: точечное восстановление объектов каталога ALD Pro без остановки сервисов
Оно обеспечивает резервное копирование и гранулярное восстановление объектов LDAP-каталога и их атрибутов в онлайн-режиме — без остановки LDAP-службы и связанных с ней сервисов.
Впервые в России документ подписали через низкоорбитальную спутниковую связь
Российская аэрокосмическая компания БЮРО 1440 и УК «ЭЛЬГА» на форуме «Цифровые решения» заключили соглашение о тестировании сервиса на базе низкоорбитальной спутниковой группировки.