توسعه‌دهندگان دروپال به کاربران اطلاع دادند که نسخه‌ی ۸٫۷٫۴ تحت تأثیر یک آسیب‌پذیری جدی قرار گرفته است و به آن‌ها توصیه کردند تا به نسخه‌ی ۸٫۷٫۵ که این مسأله در آن رفع شده است، به‌روزرسانی کنند. به این آسیب‌پذیری که با شناسه‌ی CVE-2019-6342 ردیابی می‌شود، درجه‌ی شدت «بحرانی» اختصاص داده شده است.
از آن‌جا که توسعه‌دهندگان دروپال از سیستم امتیازدهی CMSS مربوط به NIST برای تعیین میزان خطر استفاده می‌کنند، درجه‌ی «بحرانی» از نظر شدت دومین درجه پس از درجه‌ی «بسیار بحرانی» است. این آسیب‌پذیری که به‌عنوان یک مسأله‌ی دور زدن دسترسی توصیف می‌شود، می‌تواند هنگام فعال شدن مؤلفه‌ی Workspaces آزمایشی ایجاد شود و برای دست‌یابی به کنترل یک وب‌گاه هدف مورد بهره‌برداری قرار گیرد.
این آسیب‌پذیری توسط Dave Botsch به توسعه‌دهندگان دروپال گزارش شد و هیچ شواهدی از بهره‌برداری از آن برای اهداف مخرب وجود ندارد. بااین‌حال، این حفره‌ی امنیتی می‌تواند یک هدف وسوسه‌انگیز برای نفوذگران باشد، زیرا پیکربندی‌های پیش‌فرض را تحت تأثیر قرار می‌دهد و هیچ احراز هویتی لازم نیست و بهره‌برداری از آن به کمترین تعامل با کاربر نیاز دارد.
این آسیب‌پذیری تنها دروپال ۸٫۷٫۴، دروپال ۸٫۷٫۳ و نسخه‌های قبل آن، نسخه‌ی ۸٫۶٫x و نسخه‌های قبل آن را تحت تأثیر قرار داده است و نسخه‌ی ۷٫x تحت تأثیر قرار نگرفته است. کاربرانی که نمی‌توانند به نسخه‌ی ۸٫۷٫۵ به‌روزرسانی کنند تا این آسیب‌پذیری را وصله کنند، می‌توانند با غیرفعال کردن مؤلفه‌ی Workspaces از حملات بالقوه جلوگیری کنند.
برای وب‌گاه‌هایی که مؤلفه‌ی Workspaces آن‌ها فعال است، باید update.php اجرا شود تا از پاک‌سازی حافظه‌ی کش اطمینان حاصل شود. دروپال در مشاوره‌نامه‌ی خود بیان کرد که وزارت امنیت داخلی امریکا (DHS) به کاربران توصیه کرده است تا مشاوره‌نامه‌ی دروپال را بخوانند و اقدامات لازم را انجام دهند. این اولین بار نیست که آسیب‌پذیری‌های دروپال مورد بهره‌برداری قرار می‌گیرند. در اوایل سال جاری، مهاجمان بهره‌برداری از یک آسیب‌پذیری با شناسه‌ی CVE-2019-6340 را آغاز کردند تا استخراج‌کنندگان رمزارز و سایر بار داده‌ها را تنها چند روز پس از انتشار یک وصله توزیع کنند. مجرمان سایبری در سال گذشته با بهره‌برداری از دو آسیب‌پذیری به نام Drupalgeddon2 و Drupalgeddon3 به وب‌گاه‌های دروپال بسیاری نفوذ کردند. این مهاجمان از این آسیب‌پذیری‌ها برای توزیع RATها، استخراج کنندگان رمزارز و کلاه‌برداری‌های فنی استفاده کردند.
