KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk mewaspadai kerentanan kritis pada Drupal Core yang teridentifikasi dengan nomor CVE-2026-9082. Kerentanan ini dirilis melalui advisory resmi SA-CORE-2026-004 dan diklasifikasikan oleh tim keamanan Drupal sebagai tingkat Highly Critical (skor 20 dari 25 pada model risiko keamanan Drupal).
Mengingat Drupal banyak dipakai sebagai sistem manajemen konten (CMS) untuk situs web instansi pemerintah, kerentanan ini berpotensi menimbulkan dampak yang luas apabila tidak segera ditangani.
Ikhtisar
CVE-2026-9082 merupakan kerentanan SQL injection (CWE-89) pada lapisan abstraksi basis data (database abstraction API) Drupal Core. API ini seharusnya memastikan setiap kueri yang dijalankan ke basis data telah disanitasi untuk mencegah injeksi SQL.
Namun terdapat celah yang memungkinkan penyerang mengirimkan permintaan yang disusun secara khusus sehingga menghasilkan injeksi SQL arbitrer. Kerentanan ini hanya memengaruhi situs yang menggunakan basis data PostgreSQL dan dapat dieksploitasi oleh pengguna anonim tanpa otentikasi.
Dampak
Eksploitasi yang berhasil dapat memberi penyerang konsekuensi sebagai berikut:
- Pengungkapan informasi sensitif dari basis data, termasuk data pengguna dan hash kata sandi (aspek kerahasiaan).
- Perubahan atau penghapusan data pada basis data (aspek integritas).
- Pada kondisi tertentu, eskalasi hak akses, eksekusi kode jarak jauh, atau serangan lanjutan lainnya.
- Gangguan operasional situs layanan publik (aspek ketersediaan).
Sistem yang Terdampak
| Produk | Versi Terdampak (basis data PostgreSQL) | Versi Perbaikan |
|---|---|---|
| Drupal Core | 8.9.0 hingga sebelum 10.4.10 | 10.4.10 |
| Drupal Core | 10.5.0 hingga sebelum 10.5.10 | 10.5.10 |
| Drupal Core | 10.6.0 hingga sebelum 10.6.9 | 10.6.9 |
| Drupal Core | 11.0.0 hingga sebelum 11.1.10 | 11.1.10 |
| Drupal Core | 11.2.0 hingga sebelum 11.2.12 | 11.2.12 |
| Drupal Core | 11.3.0 hingga sebelum 11.3.10 | 11.3.10 |
Catatan: Situs yang menggunakan basis data MySQL/MariaDB tidak terdampak. Rilis perbaikan ini juga memuat pembaruan keamanan untuk komponen Symfony dan Twig.
Detail Teknis
Akar masalah berada pada penanganan parameter tertentu di lapisan abstraksi basis data ketika berjalan di atas PostgreSQL. Perbedaan perilaku escaping antara PostgreSQL dan basis data lain menyebabkan masukan yang tidak tepercaya dapat lolos dari mekanisme sanitasi.
Penyerang anonim dapat menyusun permintaan khusus sehingga ekspresi SQL buatannya disisipkan ke dalam kueri yang dieksekusi server. Karena tidak diperlukan otentikasi maupun hak akses khusus, kerentanan ini memiliki tingkat keparahan yang tinggi.
Rekomendasi
- Lakukan pembaruan. Tingkatkan Drupal Core ke versi perbaikan sesuai cabang yang digunakan (10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12, atau 11.3.10).
- Prioritaskan situs PostgreSQL. Identifikasi seluruh situs Drupal yang menggunakan basis data PostgreSQL dan jadikan prioritas utama pembaruan.
- Periksa indikasi kompromi. Tinjau log akses dan log basis data untuk mendeteksi kueri serta permintaan yang tidak wajar.
- Audit kredensial. Apabila ditemukan indikasi eksploitasi, segera ganti kata sandi akun dan token sesi yang berpotensi terekspos.
- Aktifkan pemantauan. Konfigurasikan pemantauan dan pencatatan log untuk mendeteksi upaya injeksi SQL.
Perangkat Daerah yang menemukan indikasi eksploitasi atau membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.
Referensi
- Drupal — SA-CORE-2026-004
- NVD — CVE-2026-9082