CERT-Bund warnt: 22 Schwachstellen in 18 Drupal-Modulen, CVSS 9.4 (WID-SEC-2026-4527)

Von Patrick Schlesinger · Aktualisiert am 13. November 2026

Veröffentlicht: 13.11.2026 · Zuletzt aktualisiert: 13.11.2026, 06:52 Uhr

Was ist passiert

Das CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) hat am 11.11.2026 die Sicherheitsmeldung WID-SEC-2026-4527 veröffentlicht. Sie fasst 22 Schwachstellen in 18 Drupal-Erweiterungen zusammen und trägt einen CVSS Base Score von 9.4, also die Stufe „kritisch“.

Betroffen sind ausschließlich Erweiterungen aus dem Contrib-Bereich, also Module, die nicht zum Lieferumfang von Drupal gehören. Drupal Core selbst ist nicht Teil der Meldung. Die Grundlage bilden die Advisories, die das Drupal Security Team am Mittwoch, dem 11.11.2026, im Rahmen seines wöchentlichen Veröffentlichungsfensters herausgegeben hat. An diesem Tag erschienen 24 Advisories für Contrib-Projekte, nummeriert von SA-CONTRIB-2026-316 bis SA-CONTRIB-2026-339 (Übersicht auf drupal.org).

Das CERT-Bund fasst die möglichen Folgen so zusammen: „Ein Angreifer kann mehrere Schwachstellen in verschiedenen Drupal Erweiterungen ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren und offenzulegen oder Cross-Site-Scripting-Angriffe durchzuführen.“ Ein Advisory, die Nummer 316 für GraphQL Core Schema, ist nicht Teil der CERT-Bund-Meldung, wird vom Drupal Security Team aber als einziges als kritisch eingestuft. Wir behandeln es deshalb in diesem Beitrag mit.

Die Bewertung von CERT-Bund im Detail

Wie ist die Einstufung mit 9.4 zu lesen? Der CVSS Base Score beschreibt die technische Schwere unter ungünstigsten Annahmen, der Temporal Score von 8.2 berücksichtigt zusätzlich, dass Korrekturen verfügbar sind und keine ausgereiften Angriffswerkzeuge bekannt sind. Beide Werte stehen im Portal des Warn- und Informationsdienstes, zusammen mit den Angaben „Remoteangriff: ja“ und „Mitigation: ja“.

Die Angabe „Mitigation: ja“ ist für Betreiber die wichtigste Zeile: Für jede der genannten Erweiterungen gibt es eine korrigierte Version. In der maschinenlesbaren CSAF-Fassung der Meldung führt das CERT-Bund die Gesamtschwere („aggregate severity“) als „hoch“. Deshalb erscheint die Meldung in den Übersichten des BSI mit der Markierung „[hoch]“, obwohl der Base Score in den kritischen Bereich fällt. Die CSAF-Datei liegt in Dokumentversion 1 vor, ist als TLP:WHITE frei verwendbar und listet alle 22 CVE-Kennungen sowie die 18 Produkte.

Für Organisationen mit eigenem Schwachstellenmanagement ist das CSAF-Format der praktischere Zugang. Monitoring-Werkzeuge können die Datei automatisiert einlesen und mit dem eigenen Softwarebestand abgleichen. Versionsangaben je Modul enthält die Datei nicht, diese stehen nur in den Advisories auf drupal.org.

Welche Module betroffen sind

Welche Erweiterungen sind betroffen und welche Version schließt die Lücke? Die folgende Tabelle führt alle 18 Module der CERT-Bund-Meldung mit den Angaben aus den jeweiligen Advisories des Drupal Security Teams auf. Die Installationszahlen stammen aus den Nutzungsstatistiken der Projektseiten auf drupal.org (Stand 13.11.2026) und zählen Websites, die ihre Nutzung an drupal.org melden.

Modul (Maschinenname)	Betroffene Versionen	Fixversion	CVE / Advisory	Installationen
Smart Trim (smart_trim)	unter 2.2.2 sowie 2.3.0 bis unter 2.3.2	2.2.2 / 2.3.2	CVE-2026-126741, SA-CONTRIB-2026-332	65.684
Entity Print (entity_print)	unter 2.20.0	8.x-2.20	CVE-2026-126736, SA-CONTRIB-2026-327	33.372
Page Manager (page_manager)	unter 4.1.0	8.x-4.1	CVE-2026-126739, SA-CONTRIB-2026-330	31.118
Real Name (realname)	unter 2.0.1	2.0.1	CVE-2026-126745, SA-CONTRIB-2026-336	15.544
Paragraphs Edit (paragraphs_edit)	unter 3.0.2 (Zweig 4.x nicht betroffen)	3.0.2	CVE-2026-126726, SA-CONTRIB-2026-317	15.403
COOKiES Consent Management (cookies)	unter 1.2.17	1.2.17	keine CVE im Advisory, SA-CONTRIB-2026-334	11.479
Layout Builder iFrame Modal (layout_builder_iframe_modal)	unter 1.3.9	1.3.9	CVE-2026-126744, SA-CONTRIB-2026-335	9.404
Authenticator Login Plus (2FA) (auth_login_plus)	unter 1.0.3	1.0.3	CVE-2026-126729, CVE-2026-126730, CVE-2026-126731, SA-CONTRIB-2026-320 bis 322	6
Commerce License (commerce_license)	unter 3.1.2	3.1.2	CVE-2026-126732, CVE-2026-126733, SA-CONTRIB-2026-323, 324	3.318
Paragraphs entity embed (paragraphs_entity_embed)	unter 4.0.1	4.0.1	CVE-2026-126734, SA-CONTRIB-2026-325	1.745
File Resumable Upload (file_resup)	unter 2.0.6	2.0.6	CVE-2026-126747, SA-CONTRIB-2026-338	1.707
S3 File System CORS Upload (s3fs_cors)	unter 1.4.0	8.x-1.4	CVE-2026-126746, SA-CONTRIB-2026-337	1.153
Download Count (download_count)	unter 2.2.5 sowie 3.0.0 bis unter 3.0.2	2.2.5 / 3.0.2	CVE-2026-126740, SA-CONTRIB-2026-331	766
Campaign Monitor (campaignmonitor)	unter 3.0.3	3.0.3	CVE-2026-126735, SA-CONTRIB-2026-326	719
Commerce sermepa (commerce_sermepa)	unter 2.5.0	8.x-2.5	CVE-2026-126742, SA-CONTRIB-2026-333	442
Texts: key-based strings and translations (texts)	unter 1.0.17 (CSRF-Lücke nur 1.0.13 bis 1.0.16)	1.0.17	CVE-2026-126727, CVE-2026-126728, SA-CONTRIB-2026-318, 319	429
Data field (datafield)	unter 2.0.15 sowie 3.0.0 bis unter 3.0.1	2.0.15 / 3.0.1	CVE-2026-126760, SA-CONTRIB-2026-339	291
Mollie for Drupal (mollie)	unter 2.3.2	2.3.2	CVE-2026-126737, CVE-2026-126738, SA-CONTRIB-2026-328, 329	267

Zusammen kommen die 18 Module auf rund 192.800 gemeldete Installationen. Da viele Websites mehrere der Module gleichzeitig einsetzen, liegt die Zahl der betroffenen Websites niedriger. Das Drupal Security Team stuft 22 der 23 Advisories zu diesen Modulen als „Moderately critical“ ein, das Advisory SA-CONTRIB-2026-324 zu Commerce License als „Less critical“. Für das Modul COOKiES Consent Management nennt das Advisory keine CVE-Kennung, die 22 CVEs der CERT-Bund-Meldung verteilen sich auf die übrigen 17 Module.

Smart Trim, Entity Print und Page Manager, die Module mit der größten Verbreitung

Welche Lücken betreffen die meisten Websites? Smart Trim (smart_trim), Entity Print (entity_print) und Page Manager (page_manager) stellen zusammen mehr als zwei Drittel der gemeldeten Installationen.

Bei Smart Trim handelt es sich um Cross-Site-Scripting (SA-CONTRIB-2026-332, Risikowert 12 von 25). Das Modul maskiert unsicheres HTML nicht ausreichend, wenn Inhalte über seine Twig-Filter laufen. Betroffen sind nur Websites, deren Templates einen der Filter |smart_trim_* verwenden. Wer ausschließlich den Field Formatter nutzt, ist laut Advisory nicht verwundbar. Der Angreifer braucht zudem Rechte zum Veröffentlichen solcher Inhalte.

Entity Print erzeugt PDF-Dateien aus Drupal-Inhalten, etwa über die Engine Dompdf (SA-CONTRIB-2026-327, Risikowert 12 von 25). Enthält eine Seite Ressourcen von fremden Servern, sendet das Modul private Daten an diese Server, darunter das Sitzungscookie der druckenden Person und die HTTP-Authentifizierungsdaten von Dompdf, unabhängig vom Host. Der fremde Server kann diese Sitzung übernehmen. Für einen gezielten Angriff muss der Angreifer Inhalte in einem Textformat anlegen können, das Bilder oder Stylesheets von beliebigen Quellen erlaubt, etwa „Full HTML“. Als Zwischenlösung nennt das Advisory die Option „Enable Remote URLs“ der Dompdf-Engine, die sich abschalten lässt.

Bei Page Manager liegt die Schwachstelle im Submodul Page Manager UI (page_manager_ui), das nicht ausreichend vor Cross-Site Request Forgery schützt (SA-CONTRIB-2026-330, Risikowert 11 von 25). Ein Angreifer kann eine Person mit dem Recht „administer pages“ dazu bringen, unbemerkt Seiten zu aktivieren oder zu deaktivieren. Nach dem Update auf 8.x-4.1 verlangt das Advisory Datenbank-Updates oder das Leeren der Caches, damit die Korrektur greift. Wer nicht sofort aktualisieren kann, deinstalliert Page Manager UI auf dem Produktivsystem. Bestehende Seiten funktionieren laut Advisory weiter.

COOKiES Consent Management, wenn das Consent-Tool selbst zur Lücke wird

Warum ist ausgerechnet ein Consent-Modul betroffen? COOKiES Consent Management (cookies) blockiert mit seinem Submodul COOKiES Video externe Videos, bis Besucher im Banner zustimmen, und schaltet sie danach wieder frei. Genau an dieser Stelle sitzt die Lücke (SA-CONTRIB-2026-334, Risikowert 12 von 25).

Beim Zurückwandeln des Attributs data-cookies-video-blazy-src in ein src-Attribut für Blazy-iframes prüft das Modul den Wert nicht ausreichend. Das Advisory hält fest, dass die Protokollprüfung aus der früheren Korrektur SA-CONTRIB-2025-092 die anderen Umwandlungspfade abdeckte, diesen aber übersah. Ein Angreifer benötigt Rechte, um ein bestimmtes HTML-Element mit einer bestimmten Klasse für alle Besucher anzeigen zu lassen. Die Fixversion ist 1.2.17. Wer mit Drupal auf digitale Souveränität und DSGVO-konforme Einbindung externer Dienste setzt, nutzt solche Module bewusst für den Datenschutz.

GraphQL Core Schema, die einzige als kritisch eingestufte Einzellücke

Welche Lücke stuft das Drupal Security Team am höchsten ein? Das Advisory SA-CONTRIB-2026-316 zu GraphQL Core Schema (graphql_core_schema) trägt als einziges der 24 Advisories die Stufe „Critical“ mit 15 von 25 Punkten. Es ist nicht Teil von WID-SEC-2026-4527.

Die Schwachstelle CVE-2026-126725 betrifft alle Versionen unter 1.0.29. Beim Ändern eines Passworts über die GraphQL-API prüft das Modul den Zugriff nicht ausreichend. Wer das Konto einer anderen Person sehen darf, kann dessen Passwort ändern, auch bei Administratorkonten. Das Advisory spricht von einer vollständigen Kontoübernahme. Voraussetzung ist, dass auf einem GraphQL-Server die Schema-Erweiterung „User Login“ aktiviert ist. Die Korrektur steckt in Version 1.0.29 vom 11.11.2026. Bis zum Update lässt sich die Erweiterung deaktivieren, damit fallen aber auch die Login- und Passwort-Mutationen weg, auf die entkoppelte Frontends angewiesen sein können. Laut drupal.org melden 503 Websites den Einsatz des Moduls.

Wer ist betroffen

Ist Ihre Website betroffen? Nur dann, wenn eines der Module in einer betroffenen Version installiert ist, und bei vielen Lücken erst, wenn weitere Bedingungen erfüllt sind. Eine Drupal-Installation ohne diese Module ist von der Meldung nicht berührt.

Ein erhöhtes Risiko haben folgende Profile:

• Redaktionssysteme mit Layout Builder und Paragraphs: Paragraphs Edit (paragraphs_edit) prüft den Zugriff auf Bearbeiten und Löschen einzelner Paragraphen nicht ausreichend. Jedes angemeldete Konto, das die ID eines Paragraphen kennt oder errät, kann zugreifen, besondere Rechte sind nicht nötig. Layout Builder iFrame Modal (layout_builder_iframe_modal) braucht für den Schutz zusätzlich einen Drupal Core mit der Korrektur aus SA-CORE-2026-001, also 10.5.9, 10.6.7, 11.2.11, 11.3.7 oder neuer.
• Behörden, Hochschulen und Verbände mit PDF-Export: Entity Print wird häufig für druckbare Fassungen von Bescheiden, Merkblättern oder Veranstaltungsseiten genutzt. Arbeiten dort viele Redakteurinnen und Redakteure mit „Full HTML“, ist die Voraussetzung für einen Angriff schnell erfüllt.
• Websites in Deutschland und Österreich mit COOKiES: Das Modul wird gerade im deutschsprachigen Raum für die Einwilligungsverwaltung eingesetzt, betroffen ist das Submodul COOKiES Video.
• Shops auf Drupal Commerce: Commerce License, Commerce sermepa und Mollie for Drupal betreffen Zahlungsstatus, Webhooks und Lizenzen. Bei Commerce sermepa prüft das Modul nicht, ob eine Zahlungsantwort von Redsys zur verarbeiteten Bestellung gehört. Bei Mollie lässt sich ein Webhook-Aufruf nicht ausreichend validieren, und mit aktivem Submodul mollie_webform kann das geheime Mollie-Token offengelegt werden.
• Entkoppelte Frontends mit GraphQL: Wer GraphQL Core Schema mit der Erweiterung User Login betreibt, sollte das Update vorziehen.
• Websites mit Zwei-Faktor-Anmeldung über Authenticator Login Plus: Drei Advisories beschreiben Wege, den zweiten Faktor unter bestimmten Bedingungen zu umgehen, etwa wenn HTTP Basic Authentication zusammen mit JSON:API oder REST aktiv ist.

Agenturen, die viele Drupal-Projekte parallel betreuen, trifft die Meldung besonders, weil sie den Modulbestand jedes Kundenprojekts einzeln prüfen müssen. Für diese Situation bieten wir ein eigenes Modell für Digital- und Marketing-Agenturen an.

Timeline

Wie lief die Veröffentlichung ab? Zwischen den Advisories und der CERT-Bund-Meldung lagen nur wenige Stunden.

Datum	Ereignis
11.11.2026	Das Drupal Security Team veröffentlicht 24 Advisories, SA-CONTRIB-2026-316 bis SA-CONTRIB-2026-339, zwischen 18:38 und 19:08 Uhr deutscher Zeit.
11.11.2026	Für alle betroffenen Module stehen korrigierte Versionen bereit, darunter GraphQL Core Schema 1.0.29.
11.11.2026	CERT-Bund veröffentlicht WID-SEC-2026-4527 (CSAF-Zeitstempel 23:00 Uhr UTC, Dokumentversion 1).
12.11.2026	Stand der Meldung im Portal, Aufnahme in die Übersicht der Cybersicherheitswarnungen des BSI.
Offen	Bislang keine Berichte über aktive Ausnutzung. Alle Advisories führen die Ausnutzbarkeit als „Theoretical“.

Sofortmaßnahmen

Was sollten Sie jetzt konkret tun? Die folgenden sechs Schritte führen von der Bestandsaufnahme bis zur Nachkontrolle. Wenn Ihnen dafür die Zeit fehlt, übernimmt unsere Drupal-Wartung Prüfung, Update und Dokumentation.

1. Bestandsaufnahme: Ermitteln Sie die aktiven Module und ihre Versionen. Mit Drush geht das über drush pm:list --type=module --status=enabled, mit Composer über composer show "drupal/*". Ein gezielter Abgleich gelingt mit
   composer show "drupal/*" | grep -E "smart_trim|entity_print|page_manager|realname|paragraphs_edit|cookies|layout_builder_iframe_modal|auth_login_plus|commerce_license|paragraphs_entity_embed|file_resup|s3fs_cors|download_count|campaignmonitor|commerce_sermepa|texts|datafield|mollie|graphql_core_schema"
   Zusätzlich meldet drush pm:security Module mit offenen Sicherheitsupdates.
2. Versionsabgleich: Vergleichen Sie die installierten Versionen mit der Tabelle oben. Achten Sie auf Module mit zwei gepflegten Zweigen wie Smart Trim, Download Count und Data field, dort gibt es je Zweig eine eigene Fixversion.
3. Update: Aktualisieren Sie die betroffenen Pakete, zum Beispiel mit composer update drupal/entity_print drupal/page_manager drupal/smart_trim --with-dependencies. Liegt eine Versionsbeschränkung in der composer.json im Weg, heben Sie sie gezielt an, etwa mit composer require drupal/smart_trim:^2.3.2. Führen Sie danach drush updatedb und drush cache:rebuild aus. Bei Page Manager verlangt das Advisory Datenbank-Updates oder das Leeren der Caches, damit die Korrektur wirkt. Bei Real Name werden gespeicherte Namen beim Update gelöscht und neu erzeugt. Bei Download Count vergeben Sie nach dem Update die Rechte „reset download counts“ und „export download counts“ nur an Rollen, die sie benötigen.
4. Zwischenlösungen, falls ein Update nicht sofort möglich ist: Page Manager UI deinstallieren mit drush pm:uninstall page_manager_ui. In Entity Print die Option „Enable Remote URLs“ der Dompdf-Engine abschalten. In GraphQL Core Schema die Schema-Erweiterung „User Login“ auf den GraphQL-Servern deaktivieren, mit dem Hinweis, dass Login- und Passwort-Mutationen dann fehlen und entkoppelte Frontends ausfallen können. Für Texts empfiehlt das Advisory, unter /admin/config/regional/texts die Option „Require „edit string translation“ permission to create new texts entities“ zu aktivieren und die Rechte zum Anlegen und Bearbeiten von Übersetzungen auf vertrauenswürdige Rollen zu beschränken. Diese Maßnahmen ersetzen das Update nicht.
5. Nachprüfung: Kontrollieren Sie, ob seit dem 11.11.2026 neue Administratorkonten entstanden sind, ob Passwörter unerwartet geändert wurden und ob sich unbekannte Dateien im Dateisystem oder in S3-Buckets finden. Prüfen Sie das Drupal-Protokoll (Recent log messages) und die Zugriffslogs des Webservers auf auffällige Anfragen an GraphQL-, JSON:API- oder REST-Endpunkte. Bei Commerce-Shops gleichen Sie Zahlungsstatus mit dem Zahlungsanbieter ab.
6. Staging zuerst: Spielen Sie die Updates zunächst auf einer Staging-Umgebung ein und testen Sie PDF-Export, Consent-Banner, Login mit zweitem Faktor und Checkout. Wer keine getrennte Testumgebung hat, findet sie in unserem Hosting.

Einschätzung von CMS ADMINS

Wie gefährlich ist die Lage im Vergleich zu anderen Drupal-Meldungen? Keine der Lücken in der CERT-Bund-Meldung ist für sich genommen dramatisch, fast alle setzen ein Konto, bestimmte Rechte oder eine besondere Konfiguration voraus. Das Risiko entsteht aus der Menge: 18 Module mit breiter Streuung, verteilt auf Redaktion, Datenschutz, Zahlungsabwicklung und Anmeldung. In der Praxis scheitert die schnelle Reaktion selten am Update selbst, sondern an einem fehlenden Inventar. Viele Betreiber wissen nicht auf Anhieb, welche Contrib-Module in welcher Version auf welcher Website laufen. Das gilt für Drupal ebenso wie für WordPress, wo wir dieselbe Lücke in der WordPress-Sicherheit regelmäßig sehen.

Inhaltlich halten wir zwei Befunde für besonders ernst. Entity Print trägt Sitzungsdaten von angemeldeten Personen nach außen, sobald ein PDF mit externen Ressourcen erzeugt wird. Das betrifft gerade die Konten, die viel drucken, also Redaktion und Verwaltung mit weitreichenden Rechten. Der zweite Befund betrifft COOKiES: Ein Modul, das Datenschutz umsetzen soll, wird zum Einfallstor für Cross-Site-Scripting. Dass die Korrektur aus SA-CONTRIB-2025-092 einen Umwandlungspfad übersah, zeigt, wie wichtig es ist, auch bereits gepatchte Module bei jeder neuen Meldung erneut zu prüfen.

FAQ

Ist Drupal Core von WID-SEC-2026-4527 betroffen?

Nein, die Meldung betrifft ausschließlich 18 Erweiterungen aus dem Contrib-Bereich. Drupal Core wird in der CERT-Bund-Meldung nicht als betroffenes Produkt geführt. Für Layout Builder iFrame Modal setzt die Korrektur allerdings einen aktuellen Core mit dem Fix aus SA-CORE-2026-001 voraus, also mindestens 10.5.9, 10.6.7, 11.2.11 oder 11.3.7.

Wie finde ich heraus, ob eines der 18 Module auf meiner Seite läuft?

Am schnellsten mit composer show "drupal/*" oder drush pm:list --type=module --status=enabled auf dem Server. Gleichen Sie die Maschinennamen aus unserer Tabelle mit der Ausgabe ab. Ohne Kommandozeile finden Sie die installierten Module im Backend unter „Erweitern“ und die Versionen unter „Berichte“ und „Verfügbare Updates“.

Warum bewertet CERT-Bund die Sammelmeldung mit CVSS 9.4, die einzelnen Advisories aber meist nur als moderat kritisch?

Weil beide Stellen unterschiedliche Skalen und Blickwinkel verwenden. Das Drupal Security Team bewertet jede Lücke einzeln auf einer eigenen Skala bis 25 Punkte und berücksichtigt dabei Voraussetzungen wie nötige Rechte oder Konfigurationen. Das CERT-Bund vergibt für die gesamte Sammelmeldung einen einzigen CVSS-Wert und weist nicht aus, welcher Einzelbefund ihn bestimmt. Die Gesamtschwere führt das CERT-Bund in der CSAF-Datei als „hoch“.

Werden diese Drupal-Lücken bereits aktiv ausgenutzt?

Bislang gibt es dafür keine Belege. Alle Advisories des Drupal Security Teams führen die Ausnutzbarkeit als „Theoretical“, und die CERT-Bund-Meldung nennt keine Angriffe. Mit der Veröffentlichung sind die Details der Lücken jedoch öffentlich, daher sollten Sie mit dem Update nicht warten. Wenn Sie Hinweise auf einen Einbruch finden, gehen Sie vor wie in unserem Leitfaden Website gehackt beschrieben, die Schritte zur Sicherung und Bereinigung gelten sinngemäß auch für Drupal.

Was muss ich tun, wenn ich COOKiES Consent Management für meine DSGVO-Einwilligung einsetze?

Aktualisieren Sie auf Version 1.2.17. Die Lücke liegt im Submodul COOKiES Video, wer es nicht aktiviert hat, ist nach dem Wortlaut des Advisories nicht betroffen. Testen Sie danach Banner, Einwilligung und das Nachladen von Videos.

Reicht ein Composer-Update, oder sind weitere Schritte nötig?

In den meisten Fällen nicht, Sie sollten danach mindestens drush updatedb und drush cache:rebuild ausführen. Bei Page Manager greift die Korrektur laut Advisory erst nach Datenbank-Updates oder dem Leeren der Caches. Bei Download Count müssen Sie Rechte neu vergeben, und bei Layout Builder iFrame Modal muss auch der Core aktuell sein. Anschließend empfiehlt sich eine Prüfung auf neue Administratorkonten und geänderte Passwörter.

Fazit

WID-SEC-2026-4527 ist keine Meldung über eine einzelne spektakuläre Lücke, sondern über viele mittlere, die sich auf typischen Drupal-Websites summieren. Für alle 18 Module und für GraphQL Core Schema liegen seit dem 11.11.2026 Fixversionen vor. Prüfen Sie Ihren Modulbestand noch in dieser Woche und spielen Sie die Updates über Staging zeitnah ein, Websites mit GraphQL Core Schema, Entity Print oder Commerce-Modulen zuerst. Wenn Sie Unterstützung bei Prüfung und Update brauchen, übernimmt das unsere Drupal-Wartung.

Quellen

• CERT-Bund: WID-SEC-2026-4527, Drupal Erweiterungen: Mehrere Schwachstellen
• CERT-Bund: CSAF-Dokument zu WID-SEC-2026-4527
• Drupal Security Team: Security advisories for contributed projects
• SA-CONTRIB-2026-316: GraphQL Core Schema
• BSI: Cybersicherheitswarnungen