Drupal Core: Remote Code Execution (RCE) (CVE-2018-7602)

Was ist betroffen, was ist zu tun

Eine Schwachstelle zur Fernausführung von Code existiert innerhalb mehrerer Subsysteme von Drupal 7.x und 8.x. Dies ermöglicht potenziell Angreifern, mehrere Angriffsvektoren auf einer Drupal-Website auszunutzen, was dazu führen könnte, dass die Website kompromittiert wird.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Drupal Core auf Version 7.59, Drupal Core auf Version 8.5.3, Drupal Core auf Version 8.4.8. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Drupal Core lt *..7.59
• Drupal Core lt *..8.5.3
• Drupal Core lt *..8.4.8

Behoben in

• Drupal Core 7.59
• Drupal Core 8.5.3
• Drupal Core 8.4.8

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Drupal Core sofort auf gepatchte Version aktualisieren: 7.x → 7.59, 8.5.x → 8.5.3, 8.4.x → 8.4.8 (letzte Non-EOL-Line); EOL-Versionen 8.3.x und darunter zwingend auf 8.5.3 migrieren. Patch-Referenz: SA-CORE-2018-004.
   • Falls kein sofortiges Update möglich: betroffene Drupal-Sites per WAF/Reverse-Proxy vor dem Internet entfernen oder in Wartungsmodus (drush sset system.maintenance_mode 1) versetzen; alternativ IP-Allowlisting auf Admin- und Formular-Endpunkte.
   • Alle Query-Parameter mit #-Prefix (z. B. ?q=user/password&name[%23post_render][]=...) am Perimeter blockieren — dies ist der Kern des Exploits (Drupalgeddon3).
   • Session- und Admin-Credentials rotieren, settings.php-Hash-Salt ($drupal_hash_salt) neu generieren, API-Keys und OAuth-Tokens widerrufen; alle aktiven Sessions terminieren (drush sql-query "TRUNCATE sessions;").
   • Forensik vor dem Patch: Webroot, sites/default/files/, /tmp und Cron-Jobs auf fremde PHP-Dateien, Webshells und modifizierte .htaccess prüfen — Exploitation läuft seit 2018, Altkompromittierungen sind wahrscheinlich.
   • Ausgehende Verbindungen des Webserver-Users (www-data, apache) auf Nicht-Standardports und zu bekannten C2-Hosts blockieren, bis der Patch verifiziert ist.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: Drupal-Hosts in dedizierte DMZ, kein direkter Zugriff auf interne DB-Server ausser über definierte Ports; ausgehender Internetzugriff des Webserver-Prozesses auf Whitelist (Composer-Repos, Update-Server) beschränken.
   • WAF-/IPS-Regel: HTTP-Requests mit URL-Parametern oder POST-Bodies, die #post_render, #pre_render, #access_callback, #lazy_builder oder [%23 enthalten, blockieren oder zur manuellen Review markieren. ModSecurity-Pattern: SecRule ARGS_NAMES|ARGS "@rx (\%23|#)(post_render|pre_render|access_callback|lazy_builder)" "id:1002018002,phase:2,deny,log".
   • Endpoint-Härtung: PHP disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec; open_basedir auf Drupal-Webroot einschränken; Schreibrechte auf sites/default/files/ ohne PHP-Execute (php_admin_flag engine off in .htaccess bzw. Nginx location ~ \.php$ { deny all; }).
   • IAM/Least-Privilege: Drupal-DB-User ohne FILE, CREATE ROUTINE, SUPER; Webserver-Prozess läuft nicht als Owner des Webroots (kein Self-Overwrite durch Exploit).
   • Konfiguration: User-Registrierung auf „Admin only" setzen, da Form-Rendering-Pfade (/user/register, /user/password) primäre Exploit-Vektoren sind; anonyme Formulare auf das Minimum reduzieren.
   • Monitoring der Drupal-Updates: Automatisierte Benachrichtigung über drush pm:security oder Composer-Audit in CI/CD, damit künftige SA-CORE-Advisories innerhalb von 24 h gepatcht werden.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-Access-Log (Apache/Nginx/Zeek http.log): Requests mit %23 (URL-encoded #) in Query-String oder POST-Body auf Drupal-Pfaden wie /user/password, /user/register, /node/*/delete. Sigma-Shape: selection: cs-uri-query|contains: '%23post_render'.
   • EDR/Sysmon EID 1 Process-Ancestry: php-fpm oder httpd/apache2 als Parent von sh, bash, curl, wget, python, perl, nc — besonders mit Base64- oder |sh-Payloads in Command-Line.
   • Linux auditd: execve von Shell-Interpretern mit uid=www-data oder uid=apache; neue Dateien in sites/default/files/ mit Extension .php, .phtml, .php5, .phar (inotify auf Webroot).
   • Suricata/Snort: ET-Rule-Set enthält SIDs für Drupalgeddon2/3 (z. B. 2025323, 2025324) — aktivieren und auf allen Perimeter-IDS laden; Alarme auf HTTP-POST mit form_id=user_pass plus Shell-Metazeichen priorisieren.
   • Drupal watchdog-Log / dblog: ungewöhnliche PHP-Fehler zu drupal_render, Form API, oder Twig; plötzliche Anlage neuer Admin-User (Event user_insert mit Rolle administrator). KQL-Shape: WebServerLogs | where UriQuery contains "%23" and UriPath has_any ("/user/password","/user/register","/node").

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Eine Schwachstelle zur Fernausführung von Code existiert innerhalb mehrerer Subsysteme von Drupal 7.x und 8.x. Dies ermöglicht potenziell Angreifern, mehrere Angriffsvektoren auf einer Drupal-Website auszunutzen, was dazu führen könnte, dass die Website kompromittiert wird. Diese Schwachstelle ist mit dem Kern von Drupal verbunden - Sehr kritisch - Fernausführung von Code - SA-CORE-2018-002. Sowohl SA-CORE-2018-002 als auch diese Schwachstelle werden aktiv ausgenutzt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), cvelistv5, OSV (Open Source Vulnerabilities), CISA KEV Catalog

Hersteller und Produkte

• Debian Debian Linux
• Drupal Drupal Core
• Drupal Drupal Core

Weakness-Klassen (CWE)

• CWE-94Improper Control of Generation of Code ('Code Injection')

  Base

  The product constructs all or part of a code segment using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the syntax or behavior of the intended code segment.

  Eintrag bei MITRE CWE-94

Quellen & Referenzen

• NVD (NIST)vuln/detail/CVE-2018-7602advisory
• github.comFriendsOfPHP/security-advisories/blob/master/drupal/core/CVE-20…web
• github.comFriendsOfPHP/security-advisories/blob/master/drupal/drupal/CVE-…web
• github.comdrupal/corepackage
• lists.debian.org[debian-lts-announce] 20180426 [SECURITY] [DLA 1365-1] drupal7 security updateweb, Mailingliste, x_refsource_MLIST
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7602web, government-resource
• debian.orgDSA-4180web, Herstellerhinweis, x_refsource_DEBIAN
• drupal.orgsa-core-2018-004web, x_refsource_CONFIRM
• exploit-db.comexploits/44542web
• exploit-db.comexploits/44557web
• exploit-db.com44557Exploit, x_refsource_EXPLOIT-DB
• securitytracker.com1040754Schwachstellendatenbank, x_refsource_SECTRACK
• exploit-db.com44542Exploit, x_refsource_EXPLOIT-DB
• securityfocus.com103985Schwachstellendatenbank, x_refsource_BID

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 02.10.2026Analyse der NVD geändertNVD

2. 01.10.2026Eintrag geändertdrupal.org

   Neue Referenzen:

   • http://www.securityfocus.com/bid/103985
   • http://www.securitytracker.com/id/1040754
   • https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html
   • https://www.debian.org/security/2018/dsa-4180

   und 3 weitere Referenzen

   21 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://www.securityfocus.com/bid/103985
   Referenz	ergänzt	—	http://www.securitytracker.com/id/1040754
   Referenz	ergänzt	—	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html
   Referenz	ergänzt	—	https://www.debian.org/security/2018/dsa-4180
   Referenz	ergänzt	—	https://www.drupal.org/sa-core-2018-004
   Referenz	ergänzt	—	https://www.exploit-db.com/exploits/44542/
   Referenz	ergänzt	—	https://www.exploit-db.com/exploits/44557/
   Referenz	entfernt	http://www.securityfocus.com/bid/103985	—
   Referenz	entfernt	http://www.securitytracker.com/id/1040754	—
   Referenz	entfernt	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html	—
   Referenz	entfernt	https://www.debian.org/security/2018/dsa-4180	—
   Referenz	entfernt	https://www.drupal.org/sa-core-2018-004	—
   Referenz	entfernt	https://www.exploit-db.com/exploits/44542/	—
   Referenz	entfernt	https://www.exploit-db.com/exploits/44557/	—
   Referenztyp	entfernt	http://www.securityfocus.com/bid/103985 Types: Broken Link, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	http://www.securitytracker.com/id/1040754 Types: Broken Link, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html Types: Mailing List, Third Party Advisory	—
   Referenztyp	entfernt	https://www.debian.org/security/2018/dsa-4180 Types: Third Party Advisory	—
   Referenztyp	entfernt	https://www.drupal.org/sa-core-2018-004 Types: Patch, Vendor Advisory	—
   Referenztyp	entfernt	https://www.exploit-db.com/exploits/44542/ Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://www.exploit-db.com/exploits/44557/ Types: Exploit, Third Party Advisory, VDB Entry	—

   Kennung der Quelle: mlhess@drupal.org

3. 01.10.2026Eintrag geändertCISA ADP

   CVSS V3.1: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

   CVSS V3.1: vorher AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, nachher —

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7602
   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
   CVSS	entfernt	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H	—
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7602
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7602	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-7602 Types: US Government Resource	—
   SSVC-Einschätzung	entfernt	{"id":"CVE-2018-7602","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2022-04-14T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2018-7602","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-08-13T03:55:34.450184Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

4. 01.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • http://www.securityfocus.com/bid/103985
   • http://www.securitytracker.com/id/1040754
   • https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html
   • https://www.debian.org/security/2018/dsa-4180

   und 3 weitere Referenzen

   21 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://www.securityfocus.com/bid/103985
   Referenz	ergänzt	—	http://www.securitytracker.com/id/1040754
   Referenz	ergänzt	—	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html
   Referenz	ergänzt	—	https://www.debian.org/security/2018/dsa-4180
   Referenz	ergänzt	—	https://www.drupal.org/sa-core-2018-004
   Referenz	ergänzt	—	https://www.exploit-db.com/exploits/44542/
   Referenz	ergänzt	—	https://www.exploit-db.com/exploits/44557/
   Referenz	entfernt	http://www.securityfocus.com/bid/103985	—
   Referenz	entfernt	http://www.securitytracker.com/id/1040754	—
   Referenz	entfernt	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html	—
   Referenz	entfernt	https://www.debian.org/security/2018/dsa-4180	—
   Referenz	entfernt	https://www.drupal.org/sa-core-2018-004	—
   Referenz	entfernt	https://www.exploit-db.com/exploits/44542/	—
   Referenz	entfernt	https://www.exploit-db.com/exploits/44557/	—
   Referenztyp	entfernt	http://www.securityfocus.com/bid/103985 Types: Broken Link, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	http://www.securitytracker.com/id/1040754 Types: Broken Link, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://lists.debian.org/debian-lts-announce/2018/04/msg00030.html Types: Mailing List, Third Party Advisory	—
   Referenztyp	entfernt	https://www.debian.org/security/2018/dsa-4180 Types: Third Party Advisory	—
   Referenztyp	entfernt	https://www.drupal.org/sa-core-2018-004 Types: Patch, Vendor Advisory	—
   Referenztyp	entfernt	https://www.exploit-db.com/exploits/44542/ Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://www.exploit-db.com/exploits/44557/ Types: Exploit, Third Party Advisory, VDB Entry	—

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108