Cảnh báo: Lỗ hổng SQL Injection nghiêm trọng trên Drupal Core đang bị khai thác tích cực

CISA vừa đưa lỗ hổng SQL Injection (CVE-2026-9082) trên Drupal Core vào danh mục các lỗ hổng bị khai thác thực tế (KEV) sau khi phát hiện hàng nghìn cuộc tấn công nhắm vào các website trên toàn...

Nguyen Hung

28 Tháng 5, 2026 2 Min Read

3 0

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức đưa một lỗ hổng bảo mật nghiêm trọng trên Drupal Core vào danh mục Known Exploited Vulnerabilities (KEV). Động thái này diễn ra sau khi có bằng chứng xác thực về việc lỗ hổng đang bị tin tặc khai thác tích cực trên môi trường thực tế.

Chi tiết về lỗ hổng CVE-2026-9082

Lỗ hổng được định danh là CVE-2026-9082 (với điểm CVSS 6.5) là một lỗi SQL Injection ảnh hưởng đến tất cả các phiên bản Drupal Core đang được hỗ trợ. Theo CISA, lỗ hổng này cho phép kẻ tấn công thực hiện leo thang đặc quyền và thực thi mã từ xa (RCE) thông qua các yêu cầu được thiết kế đặc biệt gửi đến API trừu tượng hóa cơ sở dữ liệu (database abstraction API).

Tình hình khai thác thực tế

Chỉ chưa đầy hai ngày sau khi Drupal phát hành bản vá, các báo cáo về việc khai thác đã xuất hiện. Theo dữ liệu từ Imperva, hơn 15.000 nỗ lực tấn công đã được ghi nhận nhắm vào gần 6.000 website tại 65 quốc gia khác nhau. Các cuộc tấn công hiện nay tập trung chủ yếu vào lĩnh vực dịch vụ tài chính và game, chiếm gần 50% tổng số vụ việc.

Các chuyên gia bảo mật nhận định rằng phần lớn hoạt động hiện tại mang tính chất thăm dò (reconnaissance) nhằm xác định các website Drupal đang sử dụng cấu hình PostgreSQL dễ bị tổn thương. Tuy nhiên, với tính chất của lỗ hổng này, các cuộc tấn công có thể nhanh chóng chuyển từ giai đoạn dò quét sang trích xuất dữ liệu hoặc chiếm quyền điều khiển hệ thống.

Khuyến nghị cho quản trị viên

Drupal đã phát hành các bản vá cho nhiều phiên bản khác nhau, bao gồm Drupal 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10, 10.4.10. Đối với các phiên bản cũ hơn như 9.5 và 8.9, quản trị viên cần thực hiện vá thủ công.

CISA đã yêu cầu các cơ quan thuộc nhánh hành pháp liên bang Hoa Kỳ phải hoàn tất việc cập nhật trước ngày 27/05/2026. Các tổ chức và doanh nghiệp đang vận hành website trên nền tảng Drupal được khuyến cáo nên kiểm tra và áp dụng các bản vá ngay lập tức để tránh nguy cơ bị tấn công.

Nguồn tham khảo: The Hacker News