Drupal выпустил обновления, закрывающие две критические уязвимости. Обе позволяют исполнить код удалённо — то есть дотянуться до сайта на этой CMS и сделать там что-то своё. Затронуты все поддерживаемые версии, так что логика «у меня версия постарше, меня не тронет» тут не работает — скорее наоборот.
Слово critical в бюллетене Drupal значит ровно то, что значит: тянуть не принято. Разработчики отдельно предупредили, что эксплойты могут появиться в скором времени. Не гарантия, что завтра придут именно к вам, но и не вежливая формальность — такие формулировки просто так не пишут.
Владельцам сайтов на Drupal всё скучно и конкретно: обновиться до пропатченной версии при первой возможности. Не «на следующей неделе», а как появится окно. Админки, модули, кастомные сборки — всё это крутится на одной CMS, и RCE в ядре бьёт по всем сразу.
Остальным — напоминание, что «просто сайт» это такой же софт. Патчи выходят тихо, между делом, и пропустить их проще, чем кажется. Исторически именно такие апдейты потом оказываются тикающей штукой.
#Drupal #уязвимости #патчи #безопасность
