Przejdź do treści
Luki i patche

Krytyczna luka w Drupal CVE-2026-9082 – aktywnie wykorzystywana. CISA nakazuje pilne łatki

Aktywnie wykorzystywana luka SQL Injection w Drupal CVE-2026-9082. CISA nakazuje pilne aktualizacje. Administratorzy powinni natychmiast zastosować łatkę.

3 min read
An abstract digital fortress merging with a large chain-link fence, partially broken, with glowing blue lines forming SQL commands leaking through the cracks, set against a dark cloudscape.

Aktywnie wykorzystywana luka SQL Injection w Drupal CVE-2026-9082. Administratorzy powinni natychmiast zastosować łatkę.

Amerykańska agencja CISA dodała do swojego katalogu podatności krytyczną lukę w systemie zarządzania treścią Drupal, która jest już wykorzystywana w atakach. Luka, oznaczona jako CVE-2026-9082, umożliwia zdalne wykonanie kodu bez uwierzytelniania na stronach korzystających z bazy danych PostgreSQL. Administratorzy systemów Drupal powinni jak najszybciej zainstalować dostępne aktualizacje zabezpieczające.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Szczegóły podatności CVE-2026-9082

Odkryta przez badacza z Google/Mandiant, Michaela Maturiego, luka znajduje się w abstrakcyjnym API baz danych Drupala. Problem dotyczy wstrzykiwania kodu SQL (SQL injection) i może być wykorzystany bez konieczności logowania się do systemu. Jak podaje BleepingComputer, zespół ds. bezpieczeństwa Drupala określił tę podatność jako „wysoce krytyczną” i potwierdził, że doszło do prób jej wykorzystania w środowisku produkcyjnym.

Skuteczne wykorzystanie luki może prowadzić do ujawnienia informacji, eskalacji uprawnień, a nawet zdalnego wykonania kodu. Drupal jest szeroko stosowany przez duże organizacje, w tym instytucje rządowe, uczelnie oraz firmy zarządzające rozbudowanymi strukturami danych i instalacjami wielostanowiskowymi.

Skala ataków i dotknięte sektory

Firma zajmująca się cyberbezpieczeństwem Imperva poinformowała, że od chwili ujawnienia podatności zaobserwowano ponad 15 000 prób ataku wymierzonych w prawie 6 000 stron internetowych w 65 krajach. Co istotne, ataki koncentrują się głównie na sektorze gier i usług finansowych, które łącznie stanowią prawie połowę wszystkich ataków. Jak wskazują dane z projektu Shadowserver, w sieci wciąż widocznych jest prawie 670 niezabezpieczonych instalacji Drupala, z czego większość znajduje się w Ameryce Północnej i Europie.

Działania CISA i zalecenia dla administratorów

W piątek 22 maja 2026 roku amerykańska CISA dodała CVE-2026-9082 do katalogu podatności wykorzystywanych w atakach (Known Exploited Vulnerabilities Catalog). Jednocześnie nakazała agencjom federalnym załatanie systemów do północy 27 maja. Choć nakaz dotyczy wyłącznie instytucji rządowych USA, CISA „zdecydowanie zachęca wszystkie organizacje do ograniczenia narażenia na cyberataki poprzez priorytetowe usuwanie podatności z katalogu KEV w ramach zarządzania lukami”.

Administratorzy systemów Drupal w Polsce, zarówno w firmach, jak i instytucjach publicznych, powinni potraktować tę rekomendację poważnie. W przeszłości CISA oznaczyła już pięć podatności Drupala wykorzystywanych w atakach, a dwie z nich były używane w atakach ransomware.

Zalecane działania defensywne:

  • Niezwłocznie zastosuj aktualizację zabezpieczającą udostępnioną przez zespół Drupala. Sprawdź sekcję bezpieczeństwa na stronie projektu.
  • Jeśli aktualizacja nie może być natychmiast wdrożona, rozważ tymczasowe ograniczenie dostępu do panelu administracyjnego i monitorowanie logów pod kątem nietypowych zapytań SQL.
  • Regularnie skanuj instalacje Drupala za pomocą narzędzi do zarządzania podatnościami i sprawdzaj ich widoczność w sieci za pomocą serwisów takich jak Shadowserver.

Kontekst i znaczenie dla polskich użytkowników

Drupal jest popularnym systemem CMS w Polsce, szczególnie w sektorze edukacyjnym, administracji publicznej i mediach. Luka pozwalająca na zdalne wykonanie kodu bez konieczności uwierzytelniania stwarza poważne ryzyko przejęcia kontroli nad serwerem, kradzieży danych lub użycia go jako elementu botnetu. Biorąc pod uwagę aktywną eksploatację, administratorzy nie powinni zwlekać z instalacją poprawek.

Warto również pamiętać, że podatność dotyczy wyłącznie instalacji korzystających z bazy danych PostgreSQL. Jeśli Twoja instalacja używa MySQL lub MariaDB, nie jesteś bezpośrednio zagrożony przez tę konkretną lukę, ale zawsze warto stosować aktualizacje do najnowszej wersji.

Zalecamy śledzenie komunikatów zespołu bezpieczeństwa Drupala oraz alertów wydawanych przez CISA i lokalne zespoły CERT. Szybka reakcja na tego typu podatności to podstawa skutecznej ochrony przed cyberatakami.

#aktualizacja bezpieczeństwa #CISA #CVE-2026-9082 #Drupal #luka krytyczna #SQL injection
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read