Meer dan een miljoen Drupal-websites moeten dringend worden geüpdatet, anders lopen ze het risico om te worden gehackt. Dat laten de ontwikkelaars van het contentmanagementsysteem (cms) weten. Gisterenavond verscheen er een belangrijke beveiligingsupdate voor een zeer ernstige kwetsbaarheid waardoor een aanvaller een website zeer eenvoudig kan overnemen.

De kwetsbaarheid is aanwezig in Drupal 6, 7 en 8. Meer dan een miljoen websites draaien deze versie van het cms. Volgens het Drupal-team is de kwetsbaarheid eenvoudig uit te te buiten. Een gebruiker hoeft alleen de website te bezoeken. Verder zijn er geen speciale rechten vereist. Via de kwetsbaarheid krijgt een aanvaller volledige controle over de website en kan alle data van de website, zowel publiek als non-publiek, aanpassen of verwijderen.

Er is nog geen openbare exploit bekend die van de kwetsbaarheid misbruik maakt, maar webmasters krijgen het advies om de update direct te installeren. Vanwege de ernst van de situatie besloot het Drupal-team om ook updates voor Drupal 8.3.x en 8.4.x uit te brengen, ook al worden deze versies niet meer ondersteund. Daarnaast is ook Drupal 6 kwetsbaar. Deze versie is echter End of Life. Eigenaren van Drupal-sites die nog met deze versie werken kunnen via speciale leveranciers een update verkrijgen.