Kerngegevens
- Leverancier
- Drupal
- Product
- Drupal core
- Soort software
- CMS
- Getroffen versies
- Drupal core 8.9.0 tot 10.4.10, 10.5.0 tot 10.5.10, 10.6.0 tot 10.6.9, 11.0.0 tot 11.1.10, 11.2.0 tot 11.2.12, 11.3.0 tot 11.3.10
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Drupal core 10.4.10
- Drupal core 10.5.10
- Drupal core 10.6.9
- Drupal core 11.1.10
- Drupal core 11.2.12
- Drupal core 11.3.10
- CVE gepubliceerd
- 20 mei 2026
- Op de KEV-lijst sinds
- 22 mei 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Drupal core zit een SQL-injectielek. Speciale tekens in invoer worden niet goed gefilterd voordat die in een databaseopdracht terechtkomen. Een aanvaller kan daardoor eigen databaseopdrachten laten uitvoeren. Het lek wordt volgens CISA actief misbruikt.
Wie loopt risico?
Je loopt risico als je een website draait op Drupal core in een van de getroffen versies, van 8.9.0 tot 10.4.10, van 10.5.0 tot 10.5.10, van 10.6.0 tot 10.6.9, van 11.0.0 tot 11.1.10, van 11.2.0 tot 11.2.12 of van 11.3.0 tot 11.3.10. De aanval kan via het netwerk, zonder inloggen en zonder dat een gebruiker iets hoeft te doen. Een Drupal-site die bereikbaar is vanaf internet is dus een duidelijk doelwit.
Wat moet je doen?
Controleer je Drupal-versie
Kijk na welke versie van Drupal core je gebruikt, ook op test- en ontwikkelsites die bereikbaar zijn vanaf internet.
Werk Drupal core bij
Installeer de opgeloste versie die bij jouw reeks hoort: 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 of 11.3.10. Sites op een versie vanaf 8.9.0 tot 10.4.10 worden in de gegevens als getroffen genoemd, met 10.4.10 als opgeloste versie in die lijn.
Lees het advies van Drupal
Het advies van de leverancier (sa-core-2026-004 op drupal.org) bevat de officiële instructies. Volg die op.
Kun je niet direct updaten?
Beperk dan de blootstelling van de site tot het minimum, bijvoorbeeld door toegang tot de site tijdelijk af te schermen, en volg de maatregelen uit het advies van de leverancier.
Controleer op sporen van misbruik
Omdat het lek al actief wordt misbruikt, is het verstandig om logbestanden en de database te controleren op ongebruikelijke activiteit.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een SQL-injectiekwetsbaarheid (CWE-89) in Drupal core. Speciale elementen in invoer worden onvoldoende geneutraliseerd voordat ze in een SQL-opdracht worden gebruikt. De CVSS-vector (3.1) laat zien dat de aanval via het netwerk kan, met lage complexiteit, zonder rechten en zonder gebruikersinteractie. Het effect op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. Welke functie of welk onderdeel precies kwetsbaar is, staat niet in de beschikbare gegevens. De fout is verholpen in de versies 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 en 11.3.10.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-89 · SQL-injectie (onjuiste neutralisatie van speciale elementen in een SQL-opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 15,7%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 22 mei 2026
- Deadline van CISA
- 27 mei 2026
- Gebruikt door ransomwaregroepen
- Niet bekend