Drupal çekirdeğinde bulunan ve yakın zamanda yamalanan kritik bir SQL enjeksiyon açığı, aktif olarak istismar edilmesi nedeniyle ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) Bilinen İstismar Edilen Zafiyetler (KEV) listesine eklendi. CVE-2026-9082 kodlu bu zafiyet, Drupal’ın desteklenen tüm sürümlerini etkiliyor ve saldırganlara ayrıcalık yükseltme ile uzaktan kod yürütme imkanı tanıyor.
Saldırının Genel Çerçevesi
Bu SQL enjeksiyon açığı, Drupal’ın veritabanı soyutlama API’si üzerinden özel olarak hazırlanmış isteklerle tetiklenebiliyor. İlk yamaların yayınlanmasından sadece iki gün sonra aktif istismar girişimleri tespit edildi. Şu an için saldırıların tam olarak nasıl gerçekleştirildiği ve hedeflerinin ne olduğu netleşmiş değil. Ancak, Thales grubuna bağlı bir güvenlik şirketinin gözlemlerine göre 65 ülkede yaklaşık 6.000 siteye yönelik 15.000’den fazla saldırı denemesi kaydedildi.
Hangi Sistemler Risk Altında?
Risk altındaki sürümler arasında Drupal 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10, 10.4.10, 9.5 ve 8.9 bulunuyor. Özellikle 9.5 ve 8.9 sürümleri için manuel yama uygulaması gerekiyor. Saldırılar öncelikli olarak oyun ve finans sektöründeki web sitelerini hedef alıyor ve tüm saldırıların yaklaşık %50’sini oluşturuyor. Gözlemlenen faaliyetlerin büyük çoğunluğu ise keşif ve doğrulama amaçlı taramalardan ibaret.
Saldırı Zinciri ve Teknik Detaylar
- Zafiyet: CVE-2026-9082, Drupal çekirdeğinde SQL enjeksiyon açığı (CVSS 6.5).
- Hedef Sektörler: Oyun ve finansal hizmetler başta olmak üzere çeşitli sektörler.
- Saldırı Adımları: Özel hazırlanmış veritabanı API istekleriyle ayrıcalık yükseltme ve uzaktan kod yürütme.
- İstismar Yöntemi: Aktif keşif ve doğrulama sonrası potansiyel veri sızıntısı veya yetki yükseltme.
- Önerilen Savunma: En güncel yamaların uygulanması, EDR ve SIEM sistemlerinde anomali tespiti, ağ segmentasyonu ve çok faktörlü kimlik doğrulama (MFA).
Siber Güvenlik Ekipleri İçin Öneriler
- Drupal sistemlerini en kısa sürede 11.3.10 ve 10.6.9 gibi yamalı sürümlere güncelleyin.
- Manuel yama gerektiren sürümler için dikkatli ve eksiksiz uygulama yapın.
- EDR çözümlerinde SQL enjeksiyon ve anormal API çağrılarını izleyin.
- SIEM sistemlerinde Drupal veritabanı aktivitelerini detaylı loglayarak anormallik tespiti yapın.
- Ağ segmentasyonu ile Drupal sunucularını kritik altyapıdan izole edin.
- Olay müdahale (incident response) planlarınızı güncelleyerek hızlı müdahale hazırlığı yapın.
- Yetkisiz erişimleri önlemek için IAM politikalarını gözden geçirin ve MFA uygulayın.
- Phishing ve sosyal mühendislik saldırılarına karşı kullanıcı farkındalığını artırın.
Kurumsal Ortamlarda Olası Senaryo
Örneğin bir finans kurumu, Drupal tabanlı müşteri portalında bu açığı barındırıyorsa, saldırganlar SQL enjeksiyonu yoluyla veritabanına erişim sağlayabilir ve müşteri bilgilerini çalabilir veya sistemde yetki yükselterek daha geniş erişim elde edebilir. Bu durum, hem veri gizliliği ihlali hem de operasyonel risk oluşturur. Bu nedenle, kurumların yamaları hızlıca uygulaması ve kapsamlı güvenlik önlemleri alması kritik önem taşır.