Auf den Punkt: Drupal veröffentlicht am 20. Mai 2026 zwischen 19 und 23 Uhr ein hochkritisches Core-Update, das ausnahmsweise auch für bereits ausgelaufene Versionen wie 11.1.x, 10.4.x, 9.5 und 8.9 bereitgestellt wird und wegen erwarteter schneller Exploit-Entwicklung zügig installiert werden sollte.
Das Drupal-Sicherheitsteam hat für den Abend des 20. Mai 2026 ein hochkritisches Update für Drupal Core angekündigt. Admins sollten das Patchfenster einplanen und zeitnah aktualisieren, da mit schneller Exploit-Entwicklung gerechnet wird.
Laut Vorankündigung des Drupal-Sicherheitsteams soll das Update zwischen 19 und 23 Uhr mitteleuropäischer Zeit (17:00-21:00 UTC) veröffentlicht werden. Die Entwickler stufen die Schwachstelle als hochkritisch ein und warnen, dass Angreifer innerhalb von Stunden oder wenigen Tagen nach Veröffentlichung des Fixes funktionierende Exploits entwickeln könnten. Details zur konkreten Schwachstelle oder betroffenen Konfigurationen nennt das Team vorab nicht; Admins sollen zum Zeitpunkt der Veröffentlichung selbst prüfen, ob ihre Instanz betroffen ist.
Regulär erhalten die unterstützten Zweige 11.3.x, 11.2.x, 10.6.x und 10.5.x das Update. Aufgrund des Schweregrads stellt das Sicherheitsteam ausnahmsweise auch Patches für die bereits ausgelaufenen Versionen 11.1.x und 10.4.x bereit, ebenso für die deutlich älteren Reihen Drupal Core 9.5 und 8.9. Drupal 7 ist von dem konkreten Problem nicht betroffen.
Für die Anwendung der Patches sind teils vorherige Zwischenupdates nötig: Installationen auf Drupal Core 11.1 oder 11.0 müssen zunächst auf 11.1.9 gehoben werden, die Zweige 10.4, 10.3, 10.2, 10.1 und 10.0 benötigen vorab den Stand 10.4.9. Für ältere Installationen sind Drupal Core 9.5.11 beziehungsweise 8.9.20 Voraussetzung, bevor der eigentliche Sicherheitspatch installiert werden kann.
Die Verfügbarkeit des Updates wird auf der Drupal-Sicherheitsseite (drupal.org/security) sowie über die sozialen Kanäle des Projekts angekündigt. IT-Verantwortliche mit Drupal-Core-Installationen sollten im genannten Zeitfenster regelmäßig prüfen, ob das Update bereitsteht, und es unverzüglich einspielen, insbesondere bei den nun ebenfalls gepatchten End-of-Life-Versionen, für die es sonst keine Sicherheitsupdates mehr gibt.
Quelle: www.heise.de · Erschienen 20. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.