Kritische Drupal Webform Sicherheitslücke CVE-2026-96355 kann Remote Code Execution ermöglichen
Die Drupal Webform Sicherheitslücke CVE-2026-96355 kann unter bestimmten Konfigurationen von einem nicht authentifizierten Angreifer ausgenutzt werden und letztendlich zu Remote Code Execution auf dem Webserver führen.
Das Drupal Security Team veröffentlichte die Sicherheitsmeldung am 23. September 2026 unter der Advisory SA-CONTRIB-2026-175 und stuft die Sicherheitslücke als Critical ein.
Webform ist ein weit verbreitetes Drupal-Modul zum Erstellen von Formularen, Sammeln von Einsendungen und Verarbeiten der übermittelten Daten. Nicht jede Webform-Installation ist automatisch ausnutzbar. Aufgrund der möglichen Auswirkungen sollten betroffene Installationen dennoch umgehend aktualisiert werden.
Fakten zur Drupal Webform Sicherheitslücke CVE-2026-96355
- Betroffenes Produkt: Drupal Webform-Modul
- Security Advisory: SA-CONTRIB-2026-175
- CVE: CVE-2026-96355
- Schwachstellentyp: Remote Code Execution
- Drupal Security Risk: Critical – 18/25
- Attack Complexity: Basic
- Authentifizierung erforderlich: Nein
- Mögliche Auswirkungen: Offenlegung von Informationen, Stored Cross-Site Scripting und unter bestimmten Bedingungen Remote Code Execution
- Betroffene 6.2.x-Versionen: Versionen vor 6.2.12
- Betroffene 6.3.x-Versionen: ab 6.3.0 und vor 6.3.1
- Sichere 6.2.x-Version: 6.2.12 oder neuer
- Sichere 6.3.x-Version: 6.3.1 oder neuer
- Exploit-Status: keine bestätigte aktive Ausnutzung; Drupal klassifiziert die Exploit Maturity derzeit als „Theoretical“
- Erforderliche Maßnahme: betroffene Webform-Installationen sofort aktualisieren
Was ist Drupal Webform?
Webform ist ein umfangreiches Drupal-Modul, mit dem Administratoren und Entwickler Formulare erstellen, Einsendungen sammeln und die übermittelten Informationen in konfigurierbaren Formaten verarbeiten oder anzeigen können.
Das Modul wird unter anderem für Kontaktformulare, Registrierungen, Anfragen, Umfragen und andere Workflows eingesetzt, bei denen Besucher Daten an eine Drupal-Website übermitteln.
Aufgrund der weiten Verbreitung des Moduls ist eine kritische Sicherheitslücke in Webform besonders relevant für Drupal-Administratoren und Hosting-Anbieter.
Wie funktioniert CVE-2026-96355?
Die Sicherheitslücke betrifft die Verarbeitung bestimmter Templates, die Webform zur Darstellung übermittelter Werte verwendet.
Webform unterstützt Tokens, mit denen Informationen aus einer Formulareinsendung dynamisch in andere Ausgaben übernommen werden können.
Nach Angaben des Drupal Security Teams schließen betroffene Webform-Versionen bestimmte Format-Templates nicht ausreichend von dieser Token-Ersetzung aus.
Dadurch können von einem Angreifer kontrollierte Daten unter bestimmten Bedingungen als Template-Code ausgewertet werden, wenn eine Einsendung dargestellt wird.
Abhängig von der Konfiguration der Drupal-Website und den zusätzlich aktivierten Modulen kann eine erfolgreiche Ausnutzung zu unterschiedlichen Auswirkungen führen:
- unbefugte Offenlegung von Informationen;
- Stored Cross-Site Scripting;
- Remote Code Execution auf dem Server.
Kein Drupal-Benutzerkonto erforderlich
Die Drupal Webform Sicherheitslücke ist besonders relevant, weil laut offizieller Drupal-Klassifizierung keine Authentifizierung erforderlich ist.
Ein externer Besucher, der Zugriff auf ein betroffenes Webform hat, kann daher unter den erforderlichen Bedingungen die manipulierten Daten bereitstellen, mit denen die verwundbare Verarbeitung ausgelöst wird.
Das bedeutet ausdrücklich nicht, dass jedes öffentlich erreichbare Webform automatisch für Remote Code Execution ausnutzbar ist.
Bestimmte Webform-Konfiguration erforderlich
Das Drupal Security Team weist darauf hin, dass für eine erfolgreiche Ausnutzung eine bestimmte Konfiguration erforderlich ist.
Ein betroffenes Webform muss ein benutzerdefiniertes Format für Elemente mit mehreren Werten verwenden, das Tokens für Submission Values enthält.
Einige mögliche Auswirkungen hängen zusätzlich von weiteren aktivierten Modulen oder websitespezifischen Einstellungen ab.
Drupal klassifiziert die technische Verbreitung der ausnutzbaren Konfiguration daher als Uncommon.
Es ist dennoch nicht sinnvoll, allein aufgrund dieser Voraussetzung davon auszugehen, dass eine Installation sicher ist. Die Installation der verfügbaren Sicherheitsupdates beseitigt den bekannten verwundbaren Codepfad.
Warum Remote Code Execution besonders kritisch ist
Wenn die erforderlichen Bedingungen für Remote Code Execution erfüllt sind, kann ein erfolgreicher Angreifer Code innerhalb des Sicherheitskontexts des Webservers beziehungsweise des PHP-Prozesses ausführen.
Abhängig von der Serverkonfiguration kann dies unter anderem folgende Auswirkungen haben:
- Erstellen oder Verändern von Dateien innerhalb der Website;
- Installation von Malware oder einer persistenten Backdoor;
- Zugriff auf Drupal-Konfigurationen und lokal verfügbare Zugangsdaten;
- Auslesen oder Manipulieren von Website-Daten;
- Missbrauch der Website für Phishing, Spam oder weitere Angriffe;
- dauerhafter unbefugter Zugriff auf die Drupal-Installation;
- weitere Kompromittierung, wenn zusätzliche Schwachstellen oder unsichere Berechtigungen vorhanden sind.
Eine bestätigte erfolgreiche Remote Code Execution sollte daher als mögliche vollständige Kompromittierung der betroffenen Website behandelt werden.
Drupal Webform sofort aktualisieren
Das Drupal Security Team hat gepatchte Versionen für die betroffenen Webform-Zweige veröffentlicht.
Wenn Sie den Webform 6.2.x-Zweig verwenden, aktualisieren Sie auf:
Webform 6.2.12 oder neuer.
Wenn Sie den Webform 6.3.x-Zweig verwenden, aktualisieren Sie auf:
Webform 6.3.1 oder neuer.
Webform 6.2.12 und 6.3.1 enthalten nicht nur die Korrektur für CVE-2026-96355, sondern eine koordinierte Sammlung weiterer Sicherheitskorrekturen. Administratoren sollten deshalb die vollständige aktuelle Webform-Version installieren.
Installierte Webform-Version kontrollieren
Administratoren sollten nicht nur überprüfen, ob Drupal Core aktuell ist, sondern ausdrücklich auch die installierte Webform-Version kontrollieren.
Eine aktuelle Drupal-Core-Version schützt nicht vor einer Sicherheitslücke in einem separat installierten Contributed Module.
Überprüfen Sie mindestens:
- ob Webform installiert und aktiviert ist;
- welche Webform-Version tatsächlich verwendet wird;
- ob die Installation den 6.2.x- oder 6.3.x-Zweig verwendet;
- ob Composer tatsächlich die gepatchte Version installiert hat;
- ob die Drupal-Caches nach dem Update ordnungsgemäß neu aufgebaut wurden.
Keine bestätigte aktive Ausnutzung
Zum Zeitpunkt dieser Veröffentlichung gibt es keine zuverlässige Bestätigung dafür, dass CVE-2026-96355 aktiv in freier Wildbahn ausgenutzt wird.
Die offizielle Drupal-Advisory klassifiziert die Exploit Maturity ausdrücklich als Theoretical.
Vservs stuft CVE-2026-96355 daher derzeit nicht als aktiv ausgenutzt ein.
Dies ändert nichts an der Notwendigkeit eines Updates. Drupal bewertet die Sicherheitslücke als Critical, eine Authentifizierung ist nicht erforderlich und betroffene Konfigurationen können unter bestimmten Bedingungen Remote Code Execution ermöglichen.
Gibt es Indicators of Compromise?
Das Drupal Security Team hat mit der Advisory keine spezifischen schädlichen IP-Adressen, Datei-Hashes, Dateinamen oder andere bestätigte Indicators of Compromise für CVE-2026-96355 veröffentlicht.
Vservs empfiehlt daher, sich nicht auf nicht verifizierte IoCs aus anderen Quellen zu verlassen.
Wenn der Verdacht auf eine Kompromittierung besteht, sollten Administratoren umfassendere Kontrollen der Webform-Einsendungen und der Drupal-Installation durchführen.
- unerwartete oder offensichtlich manipulierte Webform-Einsendungen;
- nicht erklärbare Änderungen an Drupal-, Modul- oder Theme-Dateien;
- unbekannte PHP-Dateien in beschreibbaren Verzeichnissen;
- unerwartete neue Benutzer oder Änderungen an Administratorrechten;
- ungeklärte Prozesse unter dem Webserver- oder PHP-Benutzer;
- Webserver- und PHP-Logs im Zeitraum verdächtiger Formulareinsendungen;
- unerwartete ausgehende Netzwerkverbindungen vom Webserver;
- kürzlich geänderte Dateien, die nicht durch ein reguläres Deployment oder Update erklärt werden können.
Diese Kontrollen sind allgemeine Compromise-Checks und stellen für sich allein keinen Nachweis dar, dass CVE-2026-96355 tatsächlich ausgenutzt wurde.
Das Deaktivieren eines Formulars ist keine dauerhafte Lösung
Da gepatchte Versionen verfügbar sind, empfiehlt Vservs nicht, selbst erstellte Filter, WAF-Regeln oder Änderungen einzelner Webform-Konfigurationen als Ersatz für das Sicherheitsupdate zu verwenden.
Die vom Drupal Security Team vorgesehene Sicherheitsmaßnahme ist die Installation der gepatchten Webform-Version.
Wenn ein Update aus technischen Gründen tatsächlich nicht sofort durchgeführt werden kann, kann das vorübergehende Deaktivieren oder Sperren eines nachweislich betroffenen Webforms die Angriffsfläche reduzieren.
Dies sollte ausschließlich als temporäre Maßnahme betrachtet werden, bis das Sicherheitsupdate installiert werden kann.
Webform erhielt mehrere Sicherheitskorrekturen
Das Drupal Security Team veröffentlichte am 23. September 2026 mehrere Sicherheitsmeldungen für Webform.
Neben CVE-2026-96355 beheben die aktuellen Webform-Releases unter anderem Sicherheitsprobleme im Zusammenhang mit Zugriffskontrollen, Cross-Site Scripting, Datei-Verarbeitung und weiteren Funktionen.
Webform 6.2.12 und 6.3.1 enthalten eine koordinierte Sammlung von 22 Security Fixes sowie eine zusätzliche Hardening-Änderung.
Administratoren sollten deshalb die vollständige aktuelle Version installieren, anstatt ausschließlich eine einzelne Schwachstelle zu umgehen.
Verantwortung für CMS- und Sicherheitsupdates
Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, Drupal, WordPress, WooCommerce, andere CMS-Plattformen sowie Plugins, Module, Erweiterungen und Themes rechtzeitig zu aktualisieren.
Wenn Missbrauch, Malware oder nachweislich überfällige Wartung dazu führt, dass eine Website oder ein Dienst ein Sicherheitsrisiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betroffenen Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Störungen unserer Infrastruktur und Dienstleistungen zu verhindern.
Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.
Managed Hosting von Vservs
Sicherheitslücken wie CVE-2026-96355 zeigen, dass CMS-Sicherheit nicht beim Aktualisieren von Drupal Core endet. Auch häufig verwendete Module müssen überwacht und zeitnah aktualisiert werden.
Für geschäftskritische CMS-Umgebungen bietet Vservs Managed VPS an. Dabei übernehmen wir unter anderem die Verwaltung des zugrunde liegenden Serversystems, die Serversicherheit und das Monitoring.
CMS-, Modul- und Anwendungswartung ist nur Bestandteil der Verwaltung, wenn dies separat vereinbart wurde.
Fazit
CVE-2026-96355 ist eine kritische Sicherheitslücke im weit verbreiteten Drupal Webform-Modul.
Unter bestimmten Konfigurationen können von einem nicht authentifizierten Besucher übermittelte Daten bei der Darstellung einer Webform-Einsendung als Template-Code ausgewertet werden. Abhängig von der Website-Konfiguration kann dies zur Offenlegung von Informationen, Stored Cross-Site Scripting oder Remote Code Execution führen.
Webform-Installationen auf dem 6.2.x-Zweig sollten mindestens auf 6.2.12 aktualisiert werden. Installationen auf dem 6.3.x-Zweig sollten mindestens 6.3.1 verwenden.
Eine aktive Ausnutzung wurde derzeit nicht zuverlässig bestätigt. Aufgrund der möglichen Auswirkungen sollten Administratoren jedoch nicht auf Exploit-Meldungen warten, bevor sie das Sicherheitsupdate installieren.
Überprüfen Sie Drupal-Installationen deshalb umgehend auf die Verwendung von Webform und installieren Sie die gepatchte Version.