Die Sicherheitslücke betrifft speziell die Datenbankabstraktions-API von Drupal Core, die zur Validierung von Datenbankabfragen und zum Schutz vor SQL-Injection-Angriffen eingesetzt wird. Allerdings enthält genau diese Komponente einen kritischen Fehler, der das Gegenteil bewirkt: Angreifer können gezielt manipulierte Anfragen senden, um arbitrary SQL-Injection-Attacken durchzuführen – aber nur gegen Websites mit PostgreSQL-Datenbanken.
Besonders problematisch ist, dass die Sicherheitslücke von anonymen Nutzern ausgenutzt werden kann, ohne dass eine Authentifizierung erforderlich ist. Mit einem CVSS-Score von 6,5 wird die Vulnerabilität als hochkritisch eingestuft. Das Schadenspotenzial ist erheblich: Unbefugte können sensible Daten auslesen, Benutzerrechte manipulieren oder im schlimmsten Fall vollständige Kontrolle über die Website erlangen.
Drupal hat für die aktuellen, unterstützten Versionen (11.3, 11.2, 10.6 und 10.5) sofort Sicherheitspatches bereitgestellt. Diese Updates enthalten neben dem Hauptfix auch Sicherheitsupdates für die abhängigen Komponenten Symfony und Twig, weshalb eine schnelle Installation essenziell ist. Drupal 7 ist von der Schwachstelle nicht betroffen.
Problematisch ist die Situation bei älteren Versionen: Drupal 8 und 9 haben bereits das Ende ihres Lebenszyklus erreicht und erhalten normalerweise keine Sicherheitsupdates mehr. Allerdings hat Drupal aufgrund der Schwere der Lücke ausnahmsweise manuelle Patches für diese Versionen zur Verfügung gestellt – allerdings ohne Gewährleistung. Versionen 11.1.x, 11.0.x, 10.4.x und darunter erhalten gar keine Sicherheitsabdeckung mehr.
Für deutsche Organisationen bedeutet dies: Websites, die auf älteren Drupal-Versionen laufen, sind potenziell ungeschützt gegen diese kritische Lücke. Ein Angriff könnte zur Verletzung der DSGVO führen, mit Meldepflichten und möglichen Bußgeldern bis zu 4 Prozent des Jahresumsatzes. Datenschutzbeauftragte und IT-Sicherheitsverantwortliche sollten daher unverzüglich alle Drupal-Installationen überprüfen, auf den aktuellen Stand prüfen und Updates einspielen. Das BSI empfiehlt zudem, die Logs auf verdächtige SQL-Anfragen zu analysieren, um mögliche bereits erfolgte Angriffe zu erkennen.