CERT-Bund, 35 Drupal eklentisi CVE'sini tek bir yüksek riskli danışma belgesinde topladı

Tek danışma belgesi, 35 eklenti açığı

Almanya'nın CERT-Bund kuruluşu, 23 Eylül 2026'da yayımladığı WID-SEC-2026-3554 numaralı danışma belgesiyle Drupal eklentilerindeki 35 güvenlik açığını yüksek risk derecesi taşıyan tek bir belgede topladı. Tanımlayıcılar, danışma belgesinin dev.to'daki analizine göre CVE-2026-96355'ten CVE-2026-96398'e kadar uzanıyor. CERT-Bund, Drupal'ı işlevselliğinin büyük kısmını geniş bir eklenti havuzundan alan PHP tabanlı bir içerik yönetim sistemi olarak tanımlıyor.

Danışma belgesine göre, açıkların başarıyla istismar edilmesi durumunda saldırganlar rastgele kod çalıştırabilir, yetkilerini yükseltebilir, güvenlik mekanizmalarını atlayabilir, verileri manipüle edebilir veya açıkta bırakabilir ve cross-site scripting saldırıları gerçekleştirebilir. Belge, her bir CVE'nin背后的 mekanizmayı ayrıntılarıyla açıklamıyor ve etkilenen ürünler için sürüm aralıkları yayımlamıyor. Maruziyet değerlendirmesi yapmak isteyenlerin her tanımlayıcıya eklenmiş üretici danışma belgelerine başvurması gerekiyor.

Asıl konunun toplu bildirim olması

dev.to'daki yazının savunduğu gibi, burada tek tek girişlerden çok toplam sayı önemli. Drupal çekirdeği, yayımlanmış bir süreci izleyen ayrı bir güvenlik ekibi tarafından korunuyor. Eklentiler ise buna karşılık bağımsız geliştiriciler tarafından yazılıp sürdürülüyor — kimileri aktif olarak fonlanıyor, kimileri fiilen terk edilmiş durumda — ancak bir eklenti yüklendiğinde çekirdeğin kendisiyle aynı uygulama yetkileriyle çalışıyor.

Bunun pratik sonucu şu: Bir sitenin Drupal sürüm numarası maruziyeti konusunda neredeyse hiçbir şey söylemiyor. Gerçekten denetlenmesi gereken envanter, yüklü modül listesidir ve bu liste her kurulum için benzersizdir.

Tek bir kusur değil, bir küme

Danışma belgesi CVE bazında ayrıntı sunmadığı için gerçekçi yorum, 35 açığın birkaç farklı eklentiyi ve birkaç farklı hata sınıfını kapsadığı yönünde. Listelenen sonuçlar — kod çalıştırma, yetki yükseltme, güvenlik atlatma, veri manipülasyonu ve ifşası ile XSS — güvensiz girdi işleme, eksik erişim kontrolleri, zayıf çıktı kodlaması ve oturum ya da serileştirme sorunları gibi birbirinden farklı kök nedenlere işaret ediyor.

Bu nedenle savunma yapan ekipler, tüm bu seti tek bir yama döngüsünün kapatamayacağını ve farklı üreticilerin farklı zamanlamalarla ayrı düzeltilmiş sürümler yayımlayacağını varsaymalı.

Drupal ne kadar yaygın

28 Eylül 2026'da çalıştırılan app="Drupal" sorgusuyla yapılan ZoomEye araması 436.331 eşleşen varlık döndürdü. Bu rakam yalnızca platformun dağıtım ayak izini describes ve sorgu, belirli bir sitede hangi eklentilerin yüklü olduğunu göstermediğinden vulnerable host sayısı olarak okunamaz.

Operatörler şimdi ne yapmalı

dev.to analizinde somut adımlar öneriliyor: CVE listesini, sorumlular atamadan önce eklenti bazlı iş kalemlerine dönüştürün; her eklentiyi düzeltilmiş bir sürüme güncelleyin ve hiçbir zaman yama almayacak, terk edilmiş olanları kaldırın; yüklü eklenti setini sitenin gerçekten kullandığıyla sınırlayın; ve modül listesini yalnızca bir danışma belgesi yayımlandığında değil, her sürüm döngüsünde yeniden gözden geçirin.

Yamalama sonrası önerilen doğrulama kontrolleri şunlar: düzeltilmiş sürümleri doğrudan filesystem üzerinde teyit edin, daha önce devre dışı bırakılmış bir eklentinin sessizce geri açılmadığını doğrulayın ve güncelleme raporlarını yalnızca güncelleme araçlarına güvenmek yerine kendi envanterinizle karşılaştırın.

Neden önemli

Tek bir bildirim penceresinde toplanmış otuz beş eklenti açığı, CMS riskinin gerçekte nerede yoğunlaştığına dair bir sinyal: özenle sürdürülen çekirdekte değil, ama çekirdeğin tüm yetkilerini devralan üçüncü taraf eklenti katmanında. Drupal operatörleri için acil iş, birden fazla üretici danışma belgesine yayılmış, envanter temelli bir yama süreci. Eklenti tabanlı herhangi bir platform çalıştıran ekipler için ise bu, sürekli güvenlik ilgisini hak eden varlığın CMS sürümü değil, eklenti listesi olduğunu hatırlatıyor.