Die Sicherheitslücke CVE-2026-9082 ist nicht irgendeine Schwachstelle – sie gilt als hochkritisch und ermöglicht unauthentifizierten Angreifern, beliebige SQL-Injektionen durchzuführen. Das betroffene API war speziell dazu entwickelt worden, Datenbankabfragen zu sanitieren und damit SQL-Injection-Angriffe zu verhindern. Der Fehler kehrt diese Sicherheitsmaßnahme ins Gegenteil um: Angreifer können durch speziell präparierte Anfragen auf PostgreSQL-Datenbanken zugreifen, sensible Daten auslesen oder im schlimmsten Fall Remote-Code-Execution erlangen.
Drupal hatte vor der Patch-Veröffentlichung am 20. Mai bereits vorgewarnt, dass Exploits innerhalb von Stunden oder Tagen erwartet werden könnten. Diese Warnung sollte sich als prophetisch erweisen. Am 22. März wurde die offizielle Sicherheitsmitteilung aktualisiert: Der Risiko-Score wurde von 20 auf 23 angehoben – auf einer Skala bis 25 im NIST-CVSS-System – um widerzuspiegeln, dass bereits Exploitversuche in der Praxis dokumentiert worden sind.
Die Zahlen von Imperva verdeutlichen das Ausmaß: Mehr als 15.000 Exploitversuche gegen nahezu 6.000 Websites auf fünf Kontinenten. Besonders brisant: Fast die Hälfte der Angriffe zielten auf Gaming- und Finanzdienstleistungs-Websites. Das deutet darauf hin, dass Angreifer gezielt nach verwundbaren Drupal-Installationen mit PostgreSQL-Backend suchen – zunächst zur Aufklärung und Validierung, aber mit dem offensichtlichen Ziel, schnell zu Datenexfiltration oder Privilegienerweiterung überzugehen.
Diesem Angriffsmuster liegt auch eine wenig beruhigende historische Erkenntnis zugrunde: Drupal hatte lange Zeit keine neuen kritischen Sicherheitslücken zu verzeichnen – die letzten dokumentierten Exploits in freier Wildbahn stammten aus dem Jahr 2019. Damals waren die legendären “Drupalgeddon” und “Drupalgeddon2”-Schwachstellen verantwortlich für die Kompromittierung zehntausender Websites. Dass nun wieder ein hochkritisches Loch nach so langer Zeit auftaucht und sofort massenweise angegriffen wird, verschärft die Situation erheblich.
Für deutsche Organisationen bedeutet dies: Sofortige Überprüfung, ob Drupal-Installationen mit PostgreSQL im Einsatz sind. Falls ja, muss der Patch unverzüglich eingespielt werden. Jede Verzögerung erhöht das Risiko einer Datenpanne – mit potenziellen DSGVO-Bußgeldern bis zu 4 Prozent des Jahresumsatzes und Meldepflichten an die zuständige Datenschutzbehörde.