Drupal团队于2026年5月20日紧急发布安全更新，修补了一个被标记为"超重大等级"（Highly Critical）的SQL注入漏洞，该漏洞编号为CVE-2026-9082，CVSS评分高达9.8分（满分10分）。安全专家表示，该漏洞可被匿名攻击者利用，在使用PostgreSQL数据库的Drupal站点上实现远程代码执行（RCE），目前全球数万个网站可能受到影响。 漏洞根源在于Drupal Core的数据库抽象API存在设计缺陷，该API原本用于验证和清理SQL查询，以防护SQL注入攻击。然而研究人员发现，攻击者可以通过精心构造的请求，绕过查询清理机制，直接在数据库层面执行任意SQL语句。这意味着攻击者不仅可以读取数据库中的敏感信息（如用户密码、个人资料），还可能在服务器上部署后门程序，进而完全控制网站服务器。 Drupal安全团队在公告中指出，该漏洞仅影响使用PostgreSQL数据库的Drupal站点，使用MySQL或其他数据库的站点不受影响。但考虑到全球大量企业、政府机构和非营利组织都采用Drupal构建官网和管理内容，攻击者极有可能优先扫描和锁定使用PostgreSQL的目标。值得注意的是，即便攻击者无法直接实现远程代码执行，仅通过SQL注入获取的管理员凭据就足以对目标组织造成严重损害。 此次更新还有一个罕见举动：Drupal团队破例为已停止官方支持的旧版本提供安全补丁。通常情况下，停止维护的版本不会获得更新，但鉴于该漏洞影响范围之广、危害程度之高，开发团队决定为Drupal 7等旧分支提供紧急补丁。这一决定得到了社区广泛赞赏，许多仍在运行旧版Drupal的机构因此得以在升级到新版本之前获得喘息空间。 安全研究人员建议所有使用Drupal的网站管理员立即采取以下措施：首先，登录管理后台检查当前版本信息，确认是否为受影响版本；其次，尽快下载并安装官方发布的安全更新；如果暂时无法升级，应考虑临时关闭网站的注册功能，并限制数据库账户权限，防止攻击者利用漏洞提权。 面对日益复杂的网络威胁，保持软件及时更新是防御入侵的关键一环。建议各机构建立系统化的补丁管理流程，实时监控安全公告，确保在漏洞披露后的24至48小时内完成风险评估与补丁部署，将暴露面降至最低。