Более 115 тыс. сайтов все еще подвержены уязвимости Drupalgeddon 2

[душман]

Спустя два месяца после выпуска исправления для критической уязвимости CVE-2018-7600 в системе управления контентом Drupal, в Сети все еще насчитывается более 115 тыс. сайтов, которые не установили патч. Об этом сообщил исследователь безопасности Трой Мерш, который проанализировал множество порталов, использующих Drupal 7.x.

Эксперт просканировал порядка 500 тыс. сайтов, из которых 115 070 работают на устаревшей версии Drupal 7.x, уязвимой к атакам с использованием CVE-2018-7600, также известной как Drupalgeddon 2.

CVE-2018-7600 представляет собой критическую уязвимость, обнаруженную в конце марта 2018 года и считающуюся одной из самых серьезных проблем безопасности, влияющих на систему управления контентом Drupal. Уязвимость позволяет злоумышленникам выполнить произвольный код в основном компоненте системы и перехватить контроль над сайтом.

Атакующему не нужно регистрироваться или аутентифицироваться на целевом ресурсе, достаточно лишь отправить специально сформированный HTTP-запрос на уязвимый сайт. Исправления были выпущены для версий Drupal 6.x, 7.x и 8.x.

В ходе исследования специалист не сканировал сайты, использующие Drupal 6.x и 8.x, однако те 500 тыс. ресурсов, которые он смог идентифицировать и проверить, составляют порядка половины всех сайтов на Drupal, работающих в Интернете на сегодняшний день.