Drupal hat die geplante Veröffentlichung eines Core-Sicherheitsupdates für alle unterstützten Versionszweige für den 20. Mai 2026 im Zeitfenster von 17:00 bis 21:00 UTC angekündigt. Das Drupal-Sicherheitsteam warnte, dass Exploits innerhalb von Stunden oder Tagen nach der Veröffentlichung auftauchen könnten, und rief Administratoren dazu auf, Zeit für ein umgehendes Update einzuplanen. Betroffen sind die Zweige Drupal 11.3.x, 11.2.x, 10.6.x und 10.5.x sowie – ausnahmsweise – veraltete Minor-Versionen. Drupal 7 ist den Angaben nach von diesem Problem nicht betroffen.

Was über die Schwachstelle bekannt ist

Die genaue Art der Schwachstelle ist derzeit nicht offengelegt – ein CVE-Bezeichner und eine CVSS-Bewertung fehlen. Mehrere indirekte Hinweise deuten jedoch auf einen hohen Schweregrad des Problems hin:

• Drupal hat eine unübliche Entscheidung getroffen und Patches für die veralteten Minor-Zweige 11.1.x und 10.4.x bereitgestellt, die regulär bereits nicht mehr unterstützt werden.
• Das Sicherheitsteam hat ausdrücklich vor der Möglichkeit eines schnellen Auftauchens von Exploits nach Veröffentlichung der Details gewarnt.
• Für Websites auf vollständig veralteten Major-Versionen (Drupal 8 und 9) wurden manuelle Patches vorbereitet – eine Maßnahme, die nur bei ernsthaften Bedrohungen zum Einsatz kommt.

Laut der offiziellen Seite des Drupal-Release-Zeitplans sind nicht alle Konfigurationen von der Schwachstelle betroffen. Informationen zu Möglichkeiten der Risikominderung werden im Security Advisory enthalten sein, das am Tag der Patch-Veröffentlichung publiziert wird.

Betroffene Versionen und Ziel-Updates

Patches werden für die folgenden unterstützten Zweige des Drupal core erwartet:

• 11.3.x
• 11.2.x
• 10.6.x
• 10.5.x

Für Websites auf veralteten Minor-Versionen hat Drupal folgende Empfehlungen für ein vorheriges Update ausgesprochen:

• Websites auf Drupal 11.1 oder 11.0 – mindestens auf Drupal 11.1.9 aktualisieren.
• Websites auf Drupal 10.4, 10.3, 10.2, 10.1 oder 10.0 – mindestens auf Drupal 10.4.9 aktualisieren.
• Websites auf einer beliebigen Version von Drupal 9 – auf 9.5.11 aktualisieren.
• Websites auf einer beliebigen Version von Drupal 8 – auf 8.9.20 aktualisieren.

Für Drupal 8.9 und 9.5 werden Patch-Dateien bereitgestellt, die manuell eingespielt werden müssen. Drupal wies darauf hin, dass es keine Garantie für die fehlerfreie Funktion dieser Korrekturen gibt – sie können zu Regressionen oder anderen Problemen führen. Dennoch sollen diese Patches dabei helfen, die Schwachstelle abzumildern, bis eine Migration auf eine unterstützte Version erfolgt.

Bewertung der Auswirkungen

Drupal ist weiterhin eines der am weitesten verbreiteten CMS auf Enterprise-Niveau und wird umfassend von Regierungsbehörden, Bildungseinrichtungen und großen Unternehmen eingesetzt. Die Entscheidung, selbst für längst ausgelaufene Versionen Patches bereitzustellen, zeigt, dass das Sicherheitsteam die potenziellen Auswirkungen als erheblich einstuft.

Besondere Besorgnis gilt der Situation von Websites auf Drupal 8 und 9. Drupal hat ausdrücklich darauf hingewiesen, dass diese Major-Versionen zahlreiche bereits offengelegte Schwachstellen enthalten, die weder durch das Programm Drupal Steward noch durch die bereitgestellten Patches behoben werden. Das bedeutet, dass solche Websites selbst nach Anwendung des Notfall-Fixes weiterhin für andere bekannte Angriffe anfällig bleiben.

Praktische Empfehlungen

Zur Minimierung der Risiken vor und während des Update-Fensters am 20. Mai wird folgende Vorgehensweise empfohlen:

1. Vor dem 20. Mai: Aktualisieren Sie die Website auf den letzten verfügbaren Patch für Ihren Drupal-Zweig. So lassen sich potenzielle Kompatibilitätsprobleme im Vorfeld beheben und die Anwendung des Sicherheitsupdates vereinfachen.
2. 20. Mai, 17:00–21:00 UTC: Verfolgen Sie die Veröffentlichung des Security Advisory auf der Seite des Drupal-Release-Zeitplans. Prüfen Sie, ob Ihre Konfiguration betroffen ist, und spielen Sie den Patch umgehend ein.
3. Für Websites auf Drupal 8 und 9: Wenden Sie die manuellen Patches für die Versionen 8.9 bzw. 9.5 an, planen Sie jedoch zeitnah eine Migration auf Drupal 10.6 oder höher.
4. Nach dem Update: Websites auf veralteten Minor-Versionen (11.1.x, 10.4.x) sollten so schnell wie möglich auf unterstützte Zweige – Drupal 11.3 oder 10.6 – wechseln.

Administratoren von Websites auf unterstützten Zweigen von Drupal 10.x und 11.x sollten das Core bereits jetzt auf den letzten Patch des aktuellen Zweigs aktualisieren und am 20. Mai das Sicherheitsupdate innerhalb des angekündigten Zeitfensters zügig einspielen. Für Websites auf Drupal 8 und 9 ist es entscheidend, sich nicht auf den Notfall-Patch zu beschränken, sondern mit der Planung einer vollständigen Migration auf Drupal 10.6 oder neuer zu beginnen – nur so lässt sich der angesammelte technische Schuldenberg im Bereich Sicherheit wirksam abbauen.