Drupal Core 的 SQL 注入漏洞 CVE-2026-9082 已被 CISA 列入 KEV，顯示實際利用跡象。本文從漏洞本質、攻擊可能路徑、受影響範圍與修補策略切入，說明為何這類發生在 database abstraction API 的缺陷，會迅速升級成資料外洩、權限提升甚至遠端程式碼執行風險。
Drupal 開發團隊上週修補了 CVE-2026-9082，這是一個存在於 Drupal Core 的 SQL injection 漏洞。根據來源資料，該漏洞被描述為影響 Drupal Core 的特定 database abstraction API，而這個 API 的主要功能正是清理資料庫查詢語句，避免 SQL injection。換言之，漏洞就發生在原本應該負責防護的核心層，這也是它被視為高風險的關鍵原因。
CISA 在 Drupal 發布修補後不久，就將 CVE-2026-9082 納入 Known Exploited Vulnerabilities (KEV) catalog，並指出已掌握遭到利用的跡象。資料同時提到，聯邦民事行政部門需要在 2026 年 5 月 27 日前完成修補。另一份來源也指出，Drupal 於 5 月 22 日的更新中確認該漏洞已被實際利用，顯示此事件已不是單純的潛在風險，而是已進入實際攻擊觀測階段。
從技術角度來看，CVE-2026-9082 的核心問題在於 SQL injection。這類漏洞的本質，是攻擊者能夠把未被妥善處理的輸入內容，重新組入 SQL 查詢中，進而改變原本查詢邏輯。來源資料指出，Drupal Core 的 database abstraction API 本意是保護資料庫操作，但當這一層出現缺陷時，攻擊者便可能透過 specially crafted requests 觸發漏洞。
相關報導提到，該漏洞可能導致 privilege escalation 與 remote code execution。這表示問題不僅限於資料讀取或竄改，而是可能一路延伸至系統層級控制。另一份資料也指出，這個漏洞可造成 information disclosure、remote code execution 與 privilege escalation，反映出其影響面並不局限於單一資料庫查詢錯誤，而是可能擴散到整體平台安全性。
對防守端而言，這類漏洞最危險的地方在於，它不一定需要複雜的植入流程，只要攻擊請求能夠命中 vulnerable path，後續就可能演變為資料擷取或權限提升。也因此，當漏洞被加入 KEV 後，其優先級通常就不再只是一般修補，而是要被視為高緊急度的暴露面治理事件。
來源資料指出，CVE-2026-9082 影響 all supported versions of Drupal Core。另有報導列出已發布修補的版本，包括 Drupal 11.3.10、11.2.12、11.1.10、10.6.9、10.5.10、10.4.10，而 Drupal 9.5 與 8.9 則標示為需要 manual patching。這表示實務上並非所有版本都能以相同方式快速處理，版本越舊，修補與驗證成本通常越高。
在風險評估方面，來源資料同時出現 Drupal 自評 20 分（滿分 25 分）的 Highly Critical 描述，以及 NVD 登記的 CVSS 9.8。兩者雖然量尺不同，但共同指出這不是一般等級的弱點，而是會迅速影響機密性、完整性與可用性的高危漏洞。
首先，最重要的動作是立即確認 Drupal Core 版本是否落在已知受影響範圍內，並優先升級到來源所列出的已修補版本。若系統屬於 Drupal 9.5 或 8.9，則必須依官方建議進行 manual patching，不應僅依賴一般套件更新流程。
其次，應把 Drupal 站台的暴露面納入緊急稽核，尤其是對外服務的網站與尚未完成資產盤點的舊站台。因為來源明確指出，該漏洞已被實際利用，代表攻擊者已在持續尋找目標。
第三，對已上線系統應加強日誌監控，留意異常 request pattern、可疑查詢行為與不尋常的管理操作。雖然來源未提供更細的攻擊 payload，但已明示存在 exploitation in the wild，因此監控目標應放在偵測是否有異常存取與疑似利用跡象，而不是等到資料外洩後才反應。
第四，組織內部應將此漏洞納入緊急變更處理，縮短驗證、上版與回溯排查的時間。因為 KEV 的意義就是告知防守者：該漏洞已被實際利用，應該優先處置，不宜與一般例行性修補並列。
5步驟修補清單