Drupal-Erweiterungen: Mehrere kritische Schwachstellen

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Drupal-Websites mit betroffenen Erweiterungen

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Volle Übernahme

Was zu tun ist

Installierte Drupal-Erweiterungen mit der BSI-Warnmeldung WID-SEC-2026-4527 abgleichen
Verfügbare Sicherheitsupdates der betroffenen Erweiterungen zeitnah einspielen

Kurz gesagt

Das BSI stuft mehrere Schwachstellen in verschiedenen Drupal-Erweiterungen als hoch ein.
Angreifer können laut Warnmeldung beliebigen Code ausführen, Sicherheitsmaßnahmen umgehen, Daten manipulieren oder offenlegen und Cross-Site-Scripting-Angriffe durchführen.
Die Warnmeldung WID-SEC-2026-4527 ist als neu markiert; konkrete Versionsnummern und CVEs nennt die Quelle nicht.

Warum es wichtig ist

Drupal-Seiten mit betroffenen Erweiterungen können kompromittiert werden, bis hin zur Ausführung fremden Codes auf dem Server. Wer Drupal betreibt oder betreut, sollte die installierten Erweiterungen zeitnah überprüfen.

Die Checkliste hinter dem Tier

Checkliste · 3 von 10 mit Ja

Ja	Trifft Tech-Teams	Drupal ist ein Framework, mit dem Teams Websites und Webanwendungen bauen und betreiben.
Nein	Kerninfrastruktur	Betroffen sind Erweiterungen eines einzelnen CMS, nicht Software, die nahezu jedes Team betreibt.
Ja	Verbreitetes Werkzeug	Drupal ist ein weit verbreitetes Content-Management-System, auf dem viele Teams Websites betreiben.
Nein	Wird ausgenutzt	BSI WID: Angreifer können die Schwachstellen ausnutzen; tatsächliche Angriffe werden nicht berichtet.
Nein	Exploit öffentlich	BSI WID: Es wird nur die Ausnutzbarkeit beschrieben; ein veröffentlichter Exploit wird nicht genannt.
Nein	Aus der Ferne, ohne Login	BSI WID nennt keine Angaben zu Netzwerkzugriff ohne Anmeldung.
Ja	Volle Übernahme	BSI WID: Angreifer können beliebigen Code ausführen und Sicherheitsmaßnahmen umgehen.
Nein	Geheimnisse offengelegt	BSI WID: Offenlegung von Daten ist möglich, ein tatsächlicher Datenabfluss wird nicht berichtet.
Nein	Lieferkette	BSI WID nennt keine kompromittierten Pakete, Updates oder Build-Pipelines.
Nein	Noch kein Fix	BSI WID nennt keine Angaben zu verfügbaren Korrekturen oder Updates.

Zeitleiste

12. Nov.
BSI veröffentlicht Warnmeldung WID-SEC-2026-4527 zu Drupal-Erweiterungen
12. Nov. · 12:47
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [hoch] Drupal Erweiterungen: Mehrere Schwachstellen

Quelle

[NEU] [hoch] Drupal Erweiterungen: Mehrere Schwachstellen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 1 Std.

Zuerst gesehen vor 1 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden