Wstrzyknięcie SQL w rdzeniu Drupala pozwala bez konta przejąć stronę i serwer. CISA i CERT Polska potwierdzają ataki. Zaktualizuj Drupala do wersji z poprawką z 20 maja 2026 roku jeszcze dziś.
Ten alert jest dla zarządu, CTO i CFO firm, których strona internetowa, portal klienta lub serwis partnerski działa na systemie Drupal. Werdykt: jeśli Twój Drupal nie ma poprawki z 20 maja 2026 roku (SA-CORE-2026-004), zaktualizuj go dziś, a jeśli serwis stoi na bazie PostgreSQL, traktuj to jako sprawę KRYTYCZNĄ.
Amerykańska agencja CISA 22 maja 2026 roku dopisała podatność CVE-2026-9082 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w rdzeniu Drupala, w warstwie, przez którą system rozmawia z bazą danych. Odpowiednio przygotowane żądanie wysłane do strony pozwala wstrzyknąć do bazy własne polecenie SQL, a według CISA prowadzi to do podniesienia uprawnień i zdalnego wykonania kodu na serwerze.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 27 maja 2026 roku, prawie cztery miesiące temu. CERT Polska niezależnie potwierdził aktywne wykorzystywanie tej luki.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-9082 |
Data dodania do CISA KEV | 2026-05-22 |
Termin naprawy wg CISA | 2026-05-27 (5 dni od wpisu) |
Produkt | Drupal Core (rdzeń systemu zarządzania treścią Drupal) |
Wersje zagrożone | Od 8.9.0 do wersji niższych niż 10.4.10; 10.5.0 do niższych niż 10.5.10; 10.6.0 do niższych niż 10.6.9; 11.0.0 do niższych niż 11.1.10; 11.2.0 do niższych niż 11.2.12; 11.3.0 do niższych niż 11.3.10. Według CERT Polska problem dotyczy wyłącznie stron działających na bazie PostgreSQL; opis w NVD tego zawężenia nie zawiera |
Wersje bezpieczne | 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12, 11.3.10 i nowsze w danej gałęzi. Gałęzie 8.9 i 9 nie dostały gotowego wydania: według CERT Polska trzeba nanieść łatkę ręcznie i docelowo przejść na wspieraną wersję |
Typ podatności | Wstrzyknięcie SQL (SQL Injection); CWE-89 |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, ocena wystawiona przez projekt Drupal, przyjęta w NVD). Atak przez sieć, bez konta, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie pracownika działu reklamacji, który przepisuje treść zgłoszeń od klientów prosto do systemu magazynowego. Jeśli ktoś w polu „opis usterki” napisze „oraz wydaj cały towar z regału B”, a pracownik przepisze to bez zastanowienia, magazyn wykona polecenie od obcej osoby.
Tak działa wstrzyknięcie SQL. Strona na Drupalu przekazuje do bazy danych polecenia, a w podatnych wersjach część tekstu przysłanego z zewnątrz nie była należycie oczyszczana. Baza traktowała ją jako fragment polecenia, a nie jako zwykłe dane. W efekcie ktoś bez konta może czytać i zmieniać zawartość bazy, nadać sobie uprawnienia administratora, a dalej przejąć serwer.
💡 SQL to język, którym aplikacje wydają polecenia bazie danych. Wstrzyknięcie SQL to podrzucenie własnego polecenia w miejscu, gdzie system spodziewa się zwykłego tekstu. PostgreSQL to jeden z silników baz danych, na których może działać Drupal (inne to MySQL, MariaDB i SQLite). KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie do strony | Strona traktuje przesłany tekst jako dane | Część tekstu trafia do bazy jako polecenie |
Dostęp do panelu administracyjnego | Tylko dla zalogowanych administratorów | Napastnik może nadać sobie uprawnienia administratora |
Konta partnerów i klientów w serwisie | Hasła i dane chronione przez aplikację | Dane mogą zostać odczytane wprost z bazy |
Treść strony | Zmienia ją tylko redakcja | Napastnik może podmienić treść lub dodać podstrony |
Serwer, na którym działa strona | Oddzielony od odwiedzających | Możliwe wykonanie własnego kodu na serwerze |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Strony firmowe są z definicji dostępne z internetu, atak nie wymaga konta ani kliknięcia pracownika, a CISA ocenia go jako możliwy do zautomatyzowania. Dlatego należy zakładać masowe skanowanie wszystkich stron na Drupalu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Automatyczne wyszukiwanie stron na Drupalu i ustalanie wersji | Lista potencjalnych celów |
2. Wstrzyknięcie | T+kilka minut | Wysłanie spreparowanych żądań do podatnej strony | Wykonanie polecenia w bazie danych |
3. Przejęcie uprawnień | T+kilkanaście minut | Utworzenie konta administratora lub przejęcie istniejącego | Pełna kontrola nad serwisem |
4. Wykonanie kodu | T+do kilku godzin | Uruchomienie własnego kodu na serwerze, instalacja ukrytego dostępu | Przyczółek na serwerze |
5. Kradzież i podmiana | T+1 do 7 dni | Kopiowanie danych klientów i partnerów, dodawanie podstron ze spamem lub fałszywymi formularzami | Wyciek danych, szkody wizerunkowe |
6. Dalszy ruch | T+tygodnie | Próby dostępu do innych systemów z serwera strony | Rozszerzenie włamania poza serwis WWW |
Strona firmowa często jest traktowana jak wizytówka, ale w jej bazie są konta, formularze kontaktowe, dane klientów i cenniki. Luka nie wymaga żadnego konta, więc każda nieaktualna strona na Drupalu z bazą PostgreSQL jest celem dla automatycznych skanerów.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie lub odtwarzanie strony, portalu klienta lub sklepu | Godziny do dni | 10 tys. do 80 tys. PLN (odtworzenie, przestój sprzedaży online) |
Bezpieczeństwo danych | Wyciek kont użytkowników, danych z formularzy, dokumentów w serwisie | Minuty do dni od ataku | 20 tys. do 150 tys. PLN (analiza powłamaniowa, reset haseł, obsługa incydentu) |
Finansowy | Utracone zapytania i zamówienia, koszty zewnętrznych specjalistów | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Podmienione treści pod marką firmy, ostrzeżenia w wyszukiwarkach, utrata zaufania partnerów | Dni do miesięcy | 20 tys. do 250 tys. PLN (utracone kontrakty, czyszczenie wyników wyszukiwania) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: Drupal bez poprawki na bazie PostgreSQL
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy CVSS 9.8, potwierdzonych atakach, braku wymogu logowania i ataku możliwym do zautomatyzowania ryzyko dla nieaktualnej strony na PostgreSQL jest maksymalne; dla stron na innych bazach ryzyko z tej konkretnej luki jest według CERT Polska niższe, ale aktualizację i tak trzeba wykonać.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie serwisy firmy na Drupalu (strona, portal, intranet, serwisy kampanii) i ustalić wersję rdzenia | Dziś | Administrator WWW / agencja |
2 | 🔴 NATYCHMIAST | Ustalić, na jakim silniku bazy danych działa każdy serwis (PostgreSQL, MySQL, MariaDB, SQLite) | Dziś | Administrator WWW |
3 | 🔴 NATYCHMIAST | Zaktualizować rdzeń do 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 lub 11.3.10 (albo nowszej) w swojej gałęzi | Dziś, serwisy na PostgreSQL w pierwszej kolejności | Administrator WWW / agencja |
4 | 🟠 PILNIE | Dla gałęzi 8.9 i 9: nanieść łatkę ręcznie lub tymczasowo wyłączyć serwis | Do 2 dni | Agencja / partner IT |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW i listę kont administratorów od 20 maja 2026 roku pod kątem nieznanych kont i podejrzanych żądań | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić, czy kopia zapasowa strony i bazy istnieje i czy da się ją odtworzyć | Do 7 dni | Administrator WWW |
7 | 🟡 WAŻNIE | Zaplanować migrację serwisów z nieobsługiwanych gałęzi 8.9 i 9 | Do 90 dni | CTO |
8 | 🟡 WAŻNIE | Ustalić stały proces aktualizacji rdzenia z terminem, także dla stron utrzymywanych przez agencje | Do 30 dni | CTO |
Projekt Drupal wydał poprawki dla wszystkich utrzymywanych gałęzi, więc docelowo trzeba je wgrać. Poniższe miary mają charakter przejściowy; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne naniesienie łatki na gałęzie 8.9 i 9 (zalecenie CERT Polska) | Wysoka, jeśli łatka zostanie naniesiona poprawnie | Średnia: wymaga programisty znającego serwis |
Czasowe wyłączenie serwisu lub zastąpienie go stroną statyczną | Wysoka: usuwa podatny system z internetu | Łatwa technicznie, kosztowna biznesowo |
Reguły zapory aplikacyjnej (WAF) blokujące typowe wzorce wstrzyknięć SQL | Średnia: utrudnia atak, ale nie usuwa luki i bywa obchodzona | Średnia |
Ograniczenie dostępu do panelu administracyjnego do adresów firmy | Niska wobec samej luki, pomaga ograniczyć skutki przejęcia konta | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Podatność na wstrzyknięcie SQL | Możliwe polecenie w bazie z dowolnego miejsca w internecie | Luka zamknięta w rdzeniu |
Konta administratorów | Nieznany stan, możliwe konta dodane przez napastnika | Lista kont przejrzana i potwierdzona |
Wiedza o infrastrukturze | Nikt nie wie, na jakiej bazie stoi serwis | Spis serwisów, wersji i baz danych |
Kopie zapasowe | Nie wiadomo, czy działają | Sprawdzone odtworzenie |
Zgodność z terminem CISA | Prawie 4 miesiące zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Aktywne wykorzystywanie potwierdza także CERT Polska, powołując się na producenta |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, projekt Drupal); CISA ocenia atak jako możliwy do zautomatyzowania, z pełnym skutkiem technicznym |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 88% szansy próby wykorzystania w ciągu 30 dni, górne 0,3% wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-9082
CVSS 3.1 (Drupal) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~88% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-20 Projekt Drupal publikuje poprawkę SA-CORE-2026-004,
tego samego dnia rekord CVE trafia do NVD
2026-05-20 Krajowe biuletyny bezpieczeństwa w Europie (20 i 21 maja)
2026-05-22 CISA dodaje lukę do katalogu KEV
2026-05-27 Termin naprawy wg CISA dla agencji federalnych
2026-07-23 Ostatnia aktualizacja wpisu w NVD
... prawie 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn projektu Drupal: drupal.org/sa-core-2026-004 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-9082 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, które serwisy firmy działają na Drupalu, także te utrzymywane przez agencje | CTO | DZISIAJ |
2 | Uzyskać pisemną informację: wersja rdzenia i silnik bazy danych każdego serwisu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację lub czasowe wyłączenie serwisu bez poprawki | CTO | DZISIAJ |
4 | Zlecić przegląd kont administratorów i logów od 20 maja 2026 roku | CTO | DO JUTRA |
5 | Zatwierdzić budżet na aktualizację lub migrację serwisów z gałęzi 8.9 i 9 | CFO | DO JUTRA |
6 | Sprawdzić w umowie z agencją, kto odpowiada za aktualizacje bezpieczeństwa | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja rdzenia Drupala w każdym naszym serwisie? | [wersja] | 🔴 |
2 | Na jakim silniku bazy danych działa każdy serwis, w szczególności czy któryś używa PostgreSQL? | TAK / NIE, [silnik] | 🔴 |
3 | Kiedy wgrano poprawkę SA-CORE-2026-004? | [data] | 🔴 |
4 | Czy któryś serwis działa na gałęzi 8.9 lub 9? | TAK / NIE | 🔴 |
5 | Czy przejrzano listę kont administratorów i logi serwera od 20 maja 2026 roku? | TAK / NIE, [data] | 🟠 |
6 | Kiedy ostatnio odtworzono stronę z kopii zapasowej na próbę? | [data] | 🟠 |
7 | Czy serwer strony jest odseparowany od systemów wewnętrznych i nie przechowuje haseł do innych usług? | TAK / NIE | 🟡 |
CVE-2026-9082 to krytyczne wstrzyknięcie SQL w rdzeniu Drupala, wykorzystywane w atakach i możliwe do przeprowadzenia bez konta. Poprawki są dostępne od 20 maja 2026 roku dla wszystkich utrzymywanych gałęzi, a termin CISA minął 27 maja, więc aktualizacja i sprawdzenie silnika bazy danych to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.