CẢNH BÁO BẢO MẬT KHẨN CẤP

Lỗ hổng Drupal Core cực kỳ nghiêm trọng đe dọa các website sử dụng PostgreSQL

Drupal vừa công bố một lỗ hổng bảo mật mức độ cực kỳ nghiêm trọng trong nhân hệ thống (Drupal Core), có thể bị khai thác để thực thi mã từ xa (RCE), leo thang đặc quyền hoặc tiết lộ thông tin nhạy cảm. Lỗ hổng này đặc biệt nguy hiểm đối với các trang web sử dụng cơ sở dữ liệu PostgreSQL.

Chi tiết về lỗ hổng CVE-2026-9082

Lỗ hổng có mã định danh CVE-2026-9082, nằm trong API trừu tượng hóa cơ sở dữ liệu của Drupal Core. Thành phần này vốn có nhiệm vụ xác thực và làm sạch các truy vấn để ngăn chặn tấn công SQL Injection. Tuy nhiên, một sai sót trong quá trình xử lý cho phép kẻ tấn công gửi các yêu cầu được tinh chỉnh đặc biệt, dẫn đến việc chèn mã SQL tùy ý.

Phạm vi ảnh hưởng

Chỉ ảnh hưởng đến các website Drupal sử dụng cơ sở dữ liệu PostgreSQL. Các hệ thống dùng MySQL hoặc MariaDB không bị ảnh hưởng bởi lỗi này.

Mức độ nguy hiểm

Kẻ tấn công ẩn danh (không cần đăng nhập) có thể khai thác lỗ hổng để chiếm quyền điều khiển máy chủ thông qua RCE.

Các phiên bản và bản vá hệ thống

Lỗ hổng ảnh hưởng đến các phiên bản Drupal 10 và 11. Các quản trị viên cần cập nhật ngay lập tức lên các phiên bản sau:

Drupal 11: Cập nhật lên 11.3.10, 11.2.12 hoặc 11.1.10
Drupal 10: Cập nhật lên 10.6.9, 10.5.10 hoặc 10.4.10
Phiên bản cũ (EOL): Drupal 8.9 và 9.5 cũng đã nhận được bản vá thủ công dù đã hết hạn hỗ trợ.

Lưu ý: Drupal 7 không bị ảnh hưởng bởi lỗ hổng này.

Hành động khẩn cấp từ chuyên gia TMGS

Để đảm bảo an toàn cho hạ tầng nội dung số, TMGS khuyến nghị các doanh nghiệp thực hiện các bước sau:

Cập nhật tức thì: Tiến hành nâng cấp Drupal Core lên phiên bản mới nhất tương ứng với nhánh đang sử dụng.
Kiểm soát truy cập: Rà soát lại các cấu hình bảo mật PostgreSQL và hạn chế quyền của tài khoản kết nối cơ sở dữ liệu.
Giám sát hệ thống: Kiểm tra các bản ghi (log) để phát hiện các truy vấn SQL bất thường hoặc dấu hiệu của các nỗ lực xâm nhập từ người dùng ẩn danh.

Nguồn tham khảo: The Hacker News / Drupal Security Team

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS