Sprawdź zagrożone wersje Drupala, termin publikacji poprawek i zalecenia dotyczące aktualizacji strony.
Sprawdź zagrożone wersje Drupala, termin publikacji poprawek i zalecenia dotyczące aktualizacji strony.
13 października 2026 • root • PrywatnyInformatyk.pl
12 października 2026 opublikowano PSA-2026-10-12: ostrzeżenie o krytycznej podatności Drupal Core. Szczegóły techniczne, identyfikator CVE i numery wydań z poprawką nie zostały ujawnione.
Kiedy pojawi się aktualizacja?
Poprawki zaplanowano na 14 października 2026, między 18:00 a 23:00 czasu polskiego (CEST), czyli 16:00–21:00 UTC.
Administrator powinien zarezerwować czas na sprawdzenie komunikatu i wdrożenie aktualizacji po jej udostępnieniu. Warto wcześniej uzgodnić dyżur z osobą odpowiedzialną za utrzymanie strony.
Które wersje Drupala są zagrożone?
Komunikat obejmuje wszystkie wspierane gałęzie rdzenia:
- Drupal 11.4.x,
- Drupal 11.3.x,
- Drupal 10.6.x.
Podatny jest także Drupal 12.0.0-beta1. Starsze wersje, w tym Drupal 10 sprzed 10.6.x i Drupal 11 sprzed 11.3.x, są poza wsparciem. Ich administratorzy powinni przejść do wspieranej gałęzi.
Jak poważne jest zagrożenie?
Zespół bezpieczeństwa przyznał luce ocenę 19/25 – Critical. Ostrzega, że narzędzia wykorzystujące podatność mogą powstać w ciągu godzin lub dni.
Drupal stosuje własny kalkulator ryzyka, ze skalą od 0 do 25 punktów. Interpretacja parametrów opublikowanych przy tym ostrzeżeniu, zgodnie z dokumentacją tej skali, wskazuje na:
- Brak wymogu uwierzytelnienia (A:None) – atakujący może działać bez konta użytkownika.
- Pełny wpływ na poufność i integralność danych (CI:All, II:All) – możliwy skutek obejmuje dostęp do wszystkich niepublicznych danych oraz ich modyfikację lub usunięcie.
- Szeroki zakres zagrożenia (TD:All) – ocena obejmuje wszystkie konfiguracje modułów.
- Złożone warunki wykorzystania (AC:Complex) – atak wymaga specyficznych warunków lub wieloetapowego działania.
- Teoretyczny status exploita (E:Theoretical) – w chwili oceny nie był znany publiczny kod ataku ani dokumentacja jego przygotowania.
Te parametry pomagają ustalić priorytet aktualizacji. Dokładny sposób działania błędu będzie można opisać po udostępnieniu pełnego komunikatu bezpieczeństwa.
Jak przygotować stronę do aktualizacji?
Drupal zaleca instalację najnowszego wspieranego wydania poprawkowego jeszcze przed 14 października. Pozwoli to wcześniej rozwiązać ewentualne problemy z aktualizowaniem strony.
Przygotowanie instalacji teraz trzeba uzupełnić wdrożeniem zapowiedzianej poprawki, gdy zostanie opublikowana.
- Sprawdź wersję rdzenia. Odczytaj ją w raporcie stanu witryny i ustal sposób aktualizowania tej instalacji.
- Wykonaj kopię zapasową. Zabezpiecz bazę danych, kod, konfigurację i pliki użytkowników. Upewnij się, że wiesz, jak przywrócić serwis.
- Przetestuj aktualizację. Jeżeli masz środowisko testowe, sprawdź na nim zgodność modułów, motywu i własnych modyfikacji.
- Zweryfikuj zależności. Przy instalacjach zarządzanych przez Composer sprawdź, czy ograniczenia wersji pakietów pozwalają przeprowadzić planowane uaktualnienie.
- Uzgodnij odpowiedzialność. Właściciel strony powinien wiedzieć, kto wykona prace, sprawdzi działanie serwisu i zareaguje na ewentualne błędy.
Co zrobić po opublikowaniu poprawek?
- Przeczytaj oficjalny komunikat bezpieczeństwa i informacje o wydaniu. Ustal konkretną wersję z poprawką właściwą dla swojej gałęzi.
- Wdróż aktualizację zgodnie z procedurą stosowaną w danym projekcie, uwzględniając wymagane zależności.
- Wykonaj wymagane aktualizacje bazy danych i przebuduj pamięć podręczną.
- Sprawdź raport stanu, logi, logowanie, formularze oraz najważniejsze podstrony. Przetestuj serwis także jako użytkownik niezalogowany.
- Potwierdź, że poprawiona wersja działa na stronie produkcyjnej.
Czy Drupal Steward zapewnia pełną ochronę?
Drupal Steward chroni przed częścią znanych sposobów ataku, ale nie obejmuje wszystkich możliwych exploitów. Także jego użytkownicy powinni wdrożyć aktualizację.
Dodatkowe zabezpieczenia należy traktować jako element ochrony całej witryny. Plan prac powinien obejmować usunięcie podatności przez aktualizację kodu rdzenia.
Rekomendacja PrywatnyInformatyk.pl
Przygotuj kopię zapasową, sprawdź możliwość aktualizacji i ustal termin prac z opiekunem strony. Po ich zakończeniu poproś o potwierdzenie wersji oraz wynik sprawdzenia najważniejszych funkcji serwisu.
Jeżeli potrzebujesz pomocy w ocenie stanu swojej instalacji lub przygotowaniu aktualizacji, skontaktuj się z PrywatnyInformatyk.pl, aby ustalić zakres prac.