Cảnh báo bảo mật

Thông báo khẩn cấp:

Drupal vừa chính thức phát hành các bản cập nhật an ninh cho một lỗ hổng "cực kỳ nghiêm trọng" trong Drupal Core. Lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE), leo thang đặc quyền hoặc đánh cắp dữ liệu nhạy cảm trên các hệ thống sử dụng cơ sở dữ liệu PostgreSQL.

Phân tích lỗ hổng CVE-2026-9082

Lỗ hổng được xác định nằm trong API trừu tượng hóa cơ sở dữ liệu (Database Abstraction API) của Drupal Core. Thành phần này vốn có nhiệm vụ xác thực và làm sạch các truy vấn để chống lại tấn công SQL Injection.

Mã định danhCVE-2026-9082

Điểm CVSS6.5 (Cực kỳ nghiêm trọng)

Đối tượng ảnh hưởngWebsite sử dụng PostgreSQL

Theo đội ngũ an ninh của Drupal, kẻ tấn công có thể gửi các yêu cầu được chế tạo đặc biệt (specially crafted requests) để thực hiện tấn công SQL Injection tùy ý. Đáng chú ý, lỗ hổng này có thể bị khai thác bởi người dùng ẩn danh mà không cần quyền đăng nhập.

Các phiên bản bị ảnh hưởng

Lỗ hổng ảnh hưởng trực tiếp đến các nhánh Drupal hiện đại. Các phiên bản sau đây đã được phát hành để khắc phục sự cố:

Drupal 11: Cập nhật lên 11.3.10, 11.2.12 hoặc 11.1.10
Drupal 10: Cập nhật lên 10.6.9, 10.5.10 hoặc 10.4.10
Drupal 8 & 9 (Đã hết hạn hỗ trợ): Drupal đã phát hành bản vá thủ công cho phiên bản 9.5 và 8.9 do tính chất nghiêm trọng của sự cố.

Lưu ý: Drupal 7 không bị ảnh hưởng bởi lỗ hổng này.

Hành động khẩn cấp cho quản trị viên

Để bảo vệ hệ thống trước các cuộc tấn công khai thác mã từ xa, TMGS khuyến nghị quý đơn vị thực hiện ngay các bước sau:

Cập nhật Drupal Core lên phiên bản mới nhất tương ứng với nhánh đang sử dụng.
Kiểm tra nhật ký hệ thống để phát hiện các truy vấn SQL bất thường liên quan đến PostgreSQL.
Đảm bảo các thành phần đi kèm như Symfony và Twig cũng được cập nhật lên phiên bản an toàn nhất.
Đối với các hệ thống đã hết hạn hỗ trợ (EOL), cần có kế hoạch nâng cấp lên Drupal 10/11 ngay lập tức.

Nguồn tham khảo: The Hacker News, Drupal Security Advisory

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo lỗ hổng Drupal Core cực kỳ nghiêm trọng đe dọa các website sử dụng PostgreSQL