Lỗ hổng RCE cực kỳ nghiêm trọng

Cảnh báo lỗ hổng Drupal Core cho phép tấn công RCE trên các hệ thống PostgreSQL

Drupal vừa công bố bản cập nhật bảo mật cho lỗ hổng CVE-2026-9082 được đánh giá là cực kỳ nghiêm trọng. Lỗ hổng này nằm trong API trừu tượng hóa cơ sở dữ liệu, cho phép kẻ tấn công thực thi mã từ xa (RCE) hoặc leo thang đặc quyền trên các website sử dụng cơ sở dữ liệu PostgreSQL.

Thông tin chi tiết về lỗ hổng CVE-2026-9082

Lỗ hổng phát sinh từ việc xử lý thiếu an toàn trong cơ chế làm sạch truy vấn SQL tại API của Drupal Core. Kẻ tấn công có thể gửi các yêu cầu được chế tạo đặc biệt dẫn đến lỗi SQL Injection tùy ý, đe dọa trực tiếp đến tính toàn vẹn và bảo mật của dữ liệu.

Mã lỗ hổng:
CVE-2026-9082

Điểm CVSS:
6.5 (Phân loại: Cực kỳ nghiêm trọng)

Đối tượng tấn công:
Người dùng ẩn danh (Anonymous)

Hệ quản trị bị ảnh hưởng:
PostgreSQL (MySQL và SQLite an toàn)

Phiên bản bị ảnh hưởng và bản vá cập nhật

Lỗ hổng ảnh hưởng đến nhiều phiên bản Drupal Core đang được hỗ trợ và cả những phiên bản đã hết hạn (EOL). Drupal khuyến cáo các tổ chức cần nâng cấp ngay lên các phiên bản sau:

Drupal 11: Cập nhật lên 11.3.10, 11.2.12 hoặc 11.1.10
Drupal 10: Cập nhật lên 10.6.9, 10.5.10 hoặc 10.4.10
Hệ thống cũ: Bản vá thủ công cũng được phát hành cho Drupal 9.5 và 8.9 do tính chất nghiêm trọng của sự cố.

Lưu ý: Các phiên bản Drupal 7 không bị ảnh hưởng bởi lỗ hổng bảo mật này.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO QUẢN TRỊ VIÊN

Cập nhật phiên bản: Ưu tiên nâng cấp Drupal Core lên phiên bản mới nhất ngay lập tức để ngăn chặn khai thác.
Kiểm tra mã PoC: Đã có mã khai thác thực chứng (PoC) được công bố bởi các nhà nghiên cứu, làm tăng nguy cơ bị tấn công diện rộng.
Rà soát hệ thống: Kiểm tra các dấu hiệu truy cập bất thường trên các máy chủ cơ sở dữ liệu PostgreSQL gắn liền với Drupal.

Lỗ hổng Drupal Core cực kỳ nghiêm trọng: Nguy cơ tấn công RCE trên các trang web PostgreSQL