- Aktif istismar
- Yama var
- CWE-89
CVE-2026-9082
Drupal core'da kimlik doğrulamasız SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 7 Eki 2026
- Açık yaşı
- 160 gün
- Kaydı açan
- drupal
Yönetici özeti
Drupal ile çalışan web siteleri, herhangi bir giriş yapmadan internet üzerinden veritabanına müdahale edilmesine açıktır ve açık şu anda saldırganlar tarafından kullanılmaktadır. Müşteri ve site verilerinin çalınması veya bozulması ile hizmet kesintisi yaşanabilir. Güncellemenin gecikmeden yapılması gerekir.
ÖzetTürkçe
Drupal core içinde SQL komutlarında kullanılan özel karakterlerin uygun şekilde temizlenmemesinden kaynaklanan bir SQL enjeksiyonu açığı bulunuyor. Açık 8.9.0 sürümünden başlayarak 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 ve 11.3.10 öncesindeki ilgili sürüm aralıklarını etkiliyor. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden yapılabiliyor. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklendi.
Saldırgan ne yapabilir?
Saldırgan veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir ve sitenin kullanılabilirliğini bozabilir. Açık aktif olarak istismar edildiği için risk çok yüksektir.
Kaynaktaki açıklama (İngilizce)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Drupal Drupal core allows SQL Injection.
This issue affects Drupal core: from 8.9.0 before 10.4.10, from 10.5.0 before 10.5.10, from 10.6.0 before 10.6.9, from 11.0.0 before 11.1.10, from 11.2.0 before 11.2.12, from 11.3.0 before 11.3.10.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Drupal core'u kullandığınız sürüm dalına karşılık gelen düzeltilmiş sürüme güncelleyin: 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 veya 11.3.10. Üretici
- Güncelleme tamamlanana kadar etkilenen siteleri mümkünse erişime kapatın veya güvenlik duvarı ile erişimi kısıtlayın. Genel öneri
- Satıcının talimatlarındaki önlemleri uygulayın; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncellemeden sonra sitenin ve veritabanının önceden bir güvenlik ihlali yaşayıp yaşamadığını kontrol edin. Genel öneri
Ek önlemler
- Web sunucusu ve uygulama günlüklerinde şüpheli veya olağandışı SQL içeren isteklere ve beklenmedik hatalara karşı izleme yapın. Genel öneri
- Veritabanı kullanıcısının yetkilerini Drupal'in ihtiyaç duyduğu en düşük seviyeyle sınırlayın. Genel öneri
- Web uygulama güvenlik duvarı (WAF) kullanarak SQL enjeksiyonu denemelerini filtreleyin; bunu yamanın yerine değil ek önlem olarak değerlendirin. Genel öneri
- Düzenli yedek alın ve geri yükleme sürecini test edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Drupal core | ≥ 8.9.0, < 10.4.10 | 10.4.10 |
| ≥ 10.5.0, < 10.5.10 | 10.5.10 | |
| ≥ 10.6.0, < 10.6.9 | 10.6.9 | |
| ≥ 11.0.0, < 11.1.10 | 11.1.10 | |
| ≥ 11.2.0, < 11.2.12 | 11.2.12 | |
| ≥ 11.3.0, < 11.3.10 | 11.3.10 |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.