Drupal wydaje pilną aktualizację. Administratorzy muszą działać dziś

Krytyczna podatność w Drupal – co wiemy?

Drupal ogłosił „wydanie krytyczne bezpieczeństwa” zaplanowane na 20 maja 2026 roku. W ostrzeżeniu opublikowanym przed godziną zero organizacja poinformowała, że zagrożenie może być wykorzystane przez atakujących w ciągu kilku godzin po ujawnieniu poprawek. Administratorzy zostali zobowiązani do zarezerwowania czasu na aktualizację rdzenia między 17:00 a 21:00 UTC.

Luka dotyczy wersji Drupal 8 i nowszych. Jak podkreśla Drupal, nie wszystkie konfiguracje są podatne, ale z uwagi na brak szczegółów technicznych przed publikacją łatki, zalecane jest jak najszybsze zastosowanie poprawek. Aktualizacje zabezpieczeń zostaną udostępnione dla następujących wersji: Drupal 11.3.x, 11.2.x, 11.1.x, 10.6.x, 10.5.x oraz 10.4.x. Organizacja zaznacza, że choć wersje 11.1.x i 10.4.x nie są już wspierane, to ze względu na powagę problemu otrzymają poprawki. Administratorzy powinni zaktualizować je odpowiednio do wersji 11.1.9 i 10.4.9.

Co z przestarzałymi wersjami?

Drupal 8 i 9, które osiągnęły koniec życia (end-of-life), nie otrzymają łat. Drupal opublikuje jednak pliki hotfix dla wersji 9.5 i 8.9, co pozwoli na naprawę luk w systemach działających na wersjach 9.5.11 lub 8.9.20. To ważna informacja dla administratorów, którzy z różnych powodów nie mogą jeszcze przejść na nowszą linię wydań.

Dodatkowym elementem ochrony jest usługa Drupal Steward. Jak czytamy w komunikacie, witryny korzystające z tej usługi są już chronione przed znanymi wektorami ataku. Mimo to organizacja zaleca przeprowadzenie aktualizacji – ochrona oferowana przez Steward może nie obejmować wszystkich możliwych scenariuszy ataku po ujawnieniu szczegółów technicznych luki.

Ryzyko szybkiej eksploatacji i zalecenia

Drupal ostrzega, że po publikacji poprawek w internecie mogą pojawić się fałszywe informacje na temat podatności. „Ani zespół ds. bezpieczeństwa, ani żadna inna strona nie mogą ujawnić więcej informacji o tej luce do czasu ogłoszenia” – czytamy w komunikacie. Oznacza to, że administratorzy powinni polegać wyłącznie na oficjalnym portalu bezpieczeństwa Drupal i przygotować się do wdrożenia łatki natychmiast po jej opublikowaniu.

Aby zminimalizować ryzyko włamania, zaleca się:

• Zarezerwowanie czasu na aktualizację w oknie 17:00–21:00 UTC 20 maja.
• Sprawdzenie, która wersja Drupal jest aktualnie używana i przygotowanie ścieżki aktualizacji.
• W przypadku korzystania z wersji 9.5 lub 8.9 – przygotowanie się do zastosowania hotfixów.
• Włączenie lub potwierdzenie działania usługi Drupal Steward, jeśli jest dostępna.
• Monitorowanie oficjalnego kanału bezpieczeństwa Drupal po więcej szczegółów.

Kontekst: rosnące zagrożenie dla systemów CMS

Drupal jest systemem zarządzania treścią popularnym wśród dużych organizacji, sektorze rządowym, edukacyjnym i opieki zdrowotnej. To sprawia, że cel ataku może być szczególnie atrakcyjny dla cyberprzestępców. W ostatnich miesiącach obserwowano wzrost liczby incydentów związanych z podatnościami w popularnych platformach CMS, w tym w WordPressie, gdzie luki wtyczek były wykorzystywane do przejmowania kont administratorów. Działanie Drupal – połączenie wczesnego ostrzeżenia z precyzyjnym oknem aktualizacyjnym – ma na celu ograniczenie czasu, w jakim atakujący mogą opracować działający exploit.

Eksperci ds. bezpieczeństwa od dawna podkreślają, że szybkość reagowania na krytyczne luki jest kluczowa. W przypadku tej podatności Drupal daje administratorom zaledwie kilka godzin na działanie. To test dojrzałości procesów zarządzania poprawkami w każdej organizacji. Brak reakcji w wyznaczonym oknie czasowym może oznaczać, że witryna pozostanie niezałataną przez nieokreślony czas, co zwiększa ryzyko kompromitacji.

Co dalej?

Administratorzy powinni niezwłocznie po opublikowaniu poprawek zastosować je w swoich środowiskach. Drupal zapowiada, że szczegóły techniczne luki zostaną ujawnione wraz z wydaniem łatki. Wtedy też pojawią się pierwsze analizy i potencjalne exploit PoC w otwartym dostępie. Dlatego tak ważne jest, aby działać w wyznaczonym oknie. Osoby zarządzające starszymi wersjami (8, 9) powinny potraktować tę sytuację jako impuls do planowania migracji na wspieraną linię wydań. Bezpieczeństwo długoterminowe wymaga utrzymywania oprogramowania w wersjach objętych wsparciem producenta.