Kürzlich wurde ein neues Sicherheitsupdate für eure Drupal Installation veröffentlicht. Das Sicherheitsteam von Drupal.org stuft das Risiko als kritisch ein und empfiehlt ein baldiges Update.
Folgende Drupal Versionen sind betroffen und sollten bald aktualisiert werden:
- Drupal core 7.x Versionen bis 7.56
- Drupal core 8.x Versionen bis 8.3.4
Gefunden wurden folgende Sicherheitslücken:
- PECL YAML parser unsafe object handling - Critical
- File REST resource does not properly validate - Less Critical
- Files uploaded by anonymous users into a private file system can be accessed by other anonymous users - Moderately Critical
So funktioniert das Update
Im Administrationsbereich seiner Drupalinstallation unter Berichte / Verfügbare Aktualisierungen bekommt man einen Hinweis auf das Update angezeigt. Über einen Klick auf Herunterladen wird das jeweilige Drupal Sicherheitsupdate zum Download bereit gestellt.
Bitte lest euch die Release Notes des jeweiligen Updates durch. Dort sind detaillierte Informationen zu den gemachten Fixes enthalten. Die aktuellste Drupal Core Version könnt ihr euch auf Drupal.org herunter laden.
Tipp: Drupal Update vom Profi
Ihr wisst ja selbst wie wichtig es ist ein Sicherheits-Update schnell einzuspielen. Und wir wissen, dass nur wenige Unternehmen, die Drupal einsetzen die Zeit haben ständig nach Updates Ausschau zu halten. Da es jedoch wichtig ist die Plattform mit der man arbeitet und Geld verdient immer Up-to-date zu halten bieten wir einen Update-Service für unsere Kunden (und solche die es werden wollen an). Dann gibt man Angreifern erst gar nicht die Möglichkeit Sicherheitslücken der Drupal-Systeme auszunutzen.
Denkt drüber nach. Und wenn ihr eure Drupal-Instanz von uns pflegen lassen wollt, dann gebt uns Bescheid. Alternativ könnt ihr aber auch unseren Server Monitoring Dienst nutzen. Der ist unter anderem auch für Drupal-Systeme ausgelegt und informiert automatisch per Mail über anstehende Updates. Auf der Drush online Dokumentation erfahrt ihr warum eine monatliche Wartung Sinn macht. Unsere Drupal Kunden, deren System wir betreuen erhalten das Update automatisch durch uns eingespielt.