Populiaraus turinio valdymo sistemos Drupal kūrėjai paskelbė apie kritinį pagrindinės sistemos saugumo atnaujinimą, kuris bus išleistas šiandien, gegužės 20 d., tarp 17:00 ir 21:00 UTC laiko. Remiantys savo svetaines senesnėmis Drupal 8 arba 9 versijomis administratoriai raginami neatidėlioti migracijos į bent jau 10.6 versiją.

Drupal yra viena iš svarbiausių turinio valdymo sistemų, plačiai naudojama didelėse organizacijose, vyriausybėse, švietimo ir sveikatos priežiūros institucijose visame pasaulyje, įskaitant ir Lietuvos svetaines. Dėl šios priežasties kiekviena kritinė spraga šioje sistemoje kelia sisteminę grėsmę daugybei interneto svetainių.

Oficialiame pranešime nurodoma, kad pažeidžiamumas liečia Drupal pagrindinį sistemos kodą nuo 8 versijos, tačiau ne visos konfigūracijos yra paveiktos. Saugos atnaujinimai bus pateikti 10.4, 10.5, 10.6, 11.0 ir 11.1 versijoms. Rekomenduojamos versijos: 10.4.9, 10.5.7, 10.6.7, 11.0.14 bei 11.1.9. Nors 11.1 ir 10.4 versijų serijos jau nebepalaikomos, dėl spragos rimtumo pataisymai vis tiek bus išleisti.

// reklamaČia gali būti jūsų reklamaSusisiekite →

Senosios Drupal 8 ir 9 versijos, kurios jau pasiekė gyvavimo pabaigą, oficialių saugos pataisymų negaus, tačiau bus pateiktos karštosios pataisų bylos versijoms 9.5.11 ir 8.9.20 tiems, kurie negali iškart migruoti. Svetainės, naudojančios Drupal Steward saugos paslaugą, jau yra apsaugotos nuo žinomų atakos vektorių, tačiau atnaujinimas vis tiek rekomenduojamas.

Svarbi informacija administratoriams: kol kas nėra viešai atskleistų techninių detalių apie pažeidžiamumą. Drupal saugos komanda perspėjo, kad internete gali pasirodyti suklastota informacija, skirta priversti administratorius imtis rizikingų veiksmų. Kol oficialus pranešimas nepaskelbtas, patariama pasikliauti tik Drupal saugos portalo pranešimais. Saugumo ekspertai atkreipia dėmesį, kad toks pažeidžiamumas gali būti greitai išnaudojamas, kaip nutiko ankstesniais atvejais, kai spragos Drupal sistemoje buvo pradėtos naudoti per kelias valandas nuo atnaujinimo išleidimo.

Dažnai užduodami klausimai

Kada bus išleistas Drupal saugos atnaujinimas?
Saugos atnaujinimas planuojamas gegužės 20 d., tarp 17:00 ir 21:00 UTC laiko.
Kokioms versijoms bus pateikti pataisymai?
Oficialiai palaikomoms versijoms: 10.4, 10.5, 10.6, 11.0, 11.1. Senoms 8 ir 9 versijoms oficialių pataisymų nebus, tačiau bus pateiktos karštosios pataisų bylos versijoms 9.5.11 ir 8.9.20.
Ar žinomi pažeidžiamumo techniniai duomenys?
Ne. Techninės detalės nebus atskleistos iki oficialaus pranešimo, tikėtina tiesiai išleidimo metu.
Ar saugu atnaujinti jau prieš oficialų išleidimą?
Ne. Patariama laukti oficialaus Drupal pranešimo ir atnaujinimų iš jų oficialaus šaltinio, nes internete gali plisti suklastota informacija.
Ar Drupal Steward naudotojai saugūs?
Svetainės, naudojančios Drupal Steward, jau yra apsaugotos nuo žinomų atakos vektorių, tačiau vis tiek rekomenduojama taikyti atnaujinimą.

Šaltiniai

  1. Drupal critical update to fix bug with high exploitation riskBleepingcomputer · 2026
  2. Drupal Security AdvisoriesDrupal · 2026