CVE-2026-96355: 36 уязвимостей в расширениях Drupal с шестью классами воздействия

CERT-BUND выпустил предупреждение WID-SEC-2026-3554 от 23 сентября 2026 года о 36 CVE в расширениях Drupal с высоким уровнем риска: от XSS и утечки данных до обхода защиты, повышения привилегий и выполнения произвольного кода. ZoomEye нашла 436 318 интернет-хостов с Drupal, но ни одного по конкретному CVE. Исправления нужно ставить отдельно для каждого модуля — ядро их не обновляет.

• 36 CVE в расширениях Drupal объединены в один advisory с рейтингом high
• ZoomEye: 436 318 хостов с Drupal в интернете, 0 совпадений по CVE-2026-96355
• Обновления модулей не приходят через канал обновления ядра Drupal
• Самый серьёзный класс — выполнение произвольного PHP-кода