Kurzfassung
Für Drupal sind vier kritische Schwachstellen in Modulen bekannt, die an genau der falschen Stelle sitzen: bei Anmeldung und Berechtigungskontrolle. Betroffen sind CVE-2026-16639, CVE-2026-16641, CVE-2026-16644 und CVE-2026-16645.
Wer eines der genannten Module einsetzt, sollte die Installation sofort prüfen. Besonders heikel ist das bei öffentlich erreichbaren Webanwendungen, internen Portalen mit Login und Shopsystemen auf Drupal-Basis.
Was ist passiert?
Die Meldungen betreffen vier unterschiedliche Drupal-Module. Gemeinsam ist ihnen, dass Angreifer unter bestimmten Bedingungen Schutzmechanismen umgehen oder auf Funktionen zugreifen können, für die sie keine Rechte haben sollten.
CVE-2026-16639 betrifft Internationalization Single Sign-On und erlaubt einen Authentifizierungs-Bypass. CVE-2026-16641 trifft Commerce Elavon; die NVD beschreibt die Schwachstelle nur allgemein, nennt aber keine belastbare Versionsgrenze. CVE-2026-16644 betrifft Webform REST und ermöglicht sogenanntes Forceful Browsing durch fehlerhafte Autorisierung. CVE-2026-16645 liegt in PhotoSwipe – Responsive JavaScript Modal Image Gallery und führt ebenfalls zu unberechtigtem Zugriff per Forceful Browsing.
Technische Details
Bei CVE-2026-16639 liegt das Problem in Internationalization Single Sign-On in den Versionen 0.0.0 bis 1.8.0. Ein Angreifer kann dort die Anmeldung über einen alternativen Pfad oder Kanal umgehen. Das ist kein kosmetischer Fehler, sondern ein direkter Bruch der Authentifizierung.
CVE-2026-16644 betrifft Webform REST von 0.0.0 bis 4.1.0. Hier fehlt die korrekte Autorisierung. Praktisch heißt das: Ein Nutzer kann auf Ressourcen oder Funktionen zugreifen, die ihm eigentlich nicht offenstehen.
CVE-2026-16645 hat denselben Grundcharakter, nur in einem anderen Modul. PhotoSwipe – Responsive JavaScript Modal Image Gallery ist von 0.0.0 bis 3.2.0 betroffen. Auch hier geht es um fehlende Autorisierung und damit um unzulässige Zugriffe durch Forceful Browsing.
Bei CVE-2026-16641 bleibt die Lage dünner. Die NVD spricht von einer kritischen Schwachstelle in Commerce Elavon, nennt aber in der vorliegenden Beschreibung keine saubere Versionseingrenzung, sondern nur einen unklaren Versionshinweis. Für Betreiber ist das unbefriedigend. Wer dieses Modul nutzt, muss auf eine Herstellerinformation oder ein Update achten, statt auf eine klare NVD-Abgrenzung zu warten.
Wer ist betroffen?
Betroffen sind Drupal-Installationen mit den genannten Modulen. Das trifft vor allem Unternehmen, Behörden, Agenturen und Betreiber von Portalen, die Drupal um Zusatzfunktionen erweitert haben. Die Kerninstallation allein ist nicht der Punkt; das Risiko hängt an den Modulen.
Für den DACH-Raum ist das relevant, weil Drupal in vielen mittelgroßen bis großen Webauftritten steckt. Wer Login-Funktionen, Formulare, Zahlungsanbindung oder SSO über Add-ons abbildet, sollte diese Schwachstellen jetzt aktiv prüfen. Bei öffentlichen Webportalen kann ein Authentifizierungs- oder Autorisierungsfehler schnell in Datenabfluss, Kontomissbrauch oder unbefugte Aktionen kippen.
Empfohlene Maßnahmen
Erstens: eingesetzte Drupal-Module inventarisieren. Ohne sauberes Modul- und Versionsinventar bleibt jede Reaktion Stückwerk.
Zweitens: die betroffenen Module sofort auf Herstellerhinweise und verfügbare Updates prüfen. Für Internationalization Single Sign-On gilt die Versionsspanne bis 1.8.0, für Webform REST bis 4.1.0 und für PhotoSwipe bis 3.2.0. Diese Versionen gehören besonders auf die Liste. Bei Commerce Elavon sollte man die Update- und Advisory-Lage direkt beim Anbieter nachziehen, weil die NVD-Information hier zu grob bleibt.
Drittens: bis zum Patch die Angriffsfläche klein halten. Nicht benötigte Module deaktivieren, Admin- und Form-Funktionen restriktiv absichern, Zugriff auf Backend-Bereiche beschränken und Logs auf ungewöhnliche Zugriffe prüfen. Wer Webform REST oder SSO öffentlich exponiert hat, sollte die Erreichbarkeit zusätzlich über WAF-Regeln oder Netzwerkfilter begrenzen, sofern das die Anwendung zulässt.
Viertens: nach dem Update testen. Gerade bei Formularen, SSO und Zahlungsmodulen reicht es nicht, nur die Version hochzuziehen. Danach muss die Anmeldung, die Rechteprüfung und der betroffene Workflow einmal sauber durchlaufen werden.
Einschätzung von CyberSecurity-News.de
Die Lage ist ernst, aber nicht überraschend. Kritische Lücken in Login- und Berechtigungsmodulen gehören zu den Fehlern, die man in produktiven Umgebungen sofort anfassen muss. Wer diese Bausteine offen ins Internet stellt, hat bei einem Exploit schnell ein echtes Problem.
Weniger gut ist die Informationslage bei CVE-2026-16641. Wenn eine Schwachstelle als kritisch gemeldet wird, aber die Versionsangabe unscharf bleibt, hilft das Betreibern nur bedingt. Dann zählt saubere Herstellerkommunikation. Bis dahin bleibt nur, das betroffene Modul vorsorglich zu prüfen und Updates eng zu verfolgen.
Alarmismus bringt hier nichts. Sinnvoll ist ein nüchterner Blick: Wenn eines dieser Module im Stack steckt, sollte der Patch heute priorisiert werden. Wenn nicht, ist der Vorfall für die eigene Umgebung eher eine Beobachtungsnotiz als ein akuter Einsatzfall.
Fazit
CVE-2026-16639, CVE-2026-16641, CVE-2026-16644 und CVE-2026-16645 zeigen ein klares Muster: Fehler bei Authentifizierung und Autorisierung bleiben ein Hochrisiko, besonders in CMS-Erweiterungen. Für Betreiber von Drupal-Installationen heißt das: Module prüfen, Versionen abgleichen, Updates einspielen.
Wer SSO, Formulare oder Zahlungsfunktionen über diese Add-ons abbildet, sollte den Patch nicht auf den nächsten Wartungszyklus schieben. Hier geht es um unberechtigte Zugriffe, nicht um ein theoretisches Randthema.
