Chi gestisce un sito basato su Drupal, uno dei sistemi di gestione dei contenuti più diffusi al mondo, ha un buon motivo per controllare subito lo stato dei propri aggiornamenti: una vulnerabilità critica nel nucleo stesso della piattaforma è già sotto sfruttamento attivo, a brevissima distanza dalla pubblicazione della correzione.

Una richiesta malevola, un database compromesso

Il problema, identificato come CVE-2026-9082 e classificato come "altamente critico" da Drupal, riguarda l'interfaccia (API) che il sistema utilizza per dialogare con il database. In particolare, il difetto si trova nel modo in cui Drupal gestisce alcune condizioni di interrogazione quando il sito utilizza PostgreSQL come database: un aggressore remoto, anche senza essere autenticato, può inviare richieste appositamente costruite per inserire comandi SQL non previsti, con il rischio concreto di arrivare fino all'esecuzione di codice sul server o all'acquisizione di privilegi più alti di quelli previsti.

Sfruttata in meno di due giorni

Drupal ha rilasciato la correzione il 20 maggio 2026 e appena due giorni dopo, il 22 maggio, ha dovuto confermare che erano già stati osservati i primi tentativi di sfruttamento nel mondo reale. Da allora, la società di sicurezza Imperva ha rilevato oltre 15.000 tentativi di attacco diretti contro quasi 6.000 siti distinti, sparsi in 65 Paesi. Quasi la metà di questi tentativi ha preso di mira siti dei settori del gaming e dei servizi finanziari, due ambiti dove i dati custoditi (account utente, transazioni, informazioni di pagamento) hanno un valore particolarmente alto sul mercato del cybercrimine.

Cosa fare subito

Le organizzazioni che utilizzano Drupal, in particolare con database PostgreSQL, dovrebbero verificare con urgenza di aver applicato gli aggiornamenti indicati nell'avviso di sicurezza ufficiale (SA-CORE-2026-004) e controllare i log di accesso alla ricerca di richieste anomale verso le funzionalità che si appoggiano al database. Vista la rapidità con cui gli attaccanti hanno cominciato a sfruttare la falla dopo la pubblicazione della patch, la finestra di tempo per mettersi al riparo si è già rivelata molto più stretta di quanto molte organizzazioni fossero pronte a gestire: un promemoria utile sull'importanza di automatizzare, dove possibile, l'applicazione degli aggiornamenti di sicurezza critici.