مجددا باید هرچه سریع تر وب سایت های دروپال خود را وصله کنید! این مورد، سومین آسیب پذیری است که در طول یک ماه در سیستم مدیریت محتوای دروپال کشف شده است.
دروپال اشاره کرده که در آخرین به روزرسانی نرم افزاری خود، یک آسیب پذیری حیاتی اجرای کد از راه دور را وصله کرده که دروپال ۷ و ۸ را تحت تاثیر قرار داده است. دروپال یکی از سیستم های مدیریت محتوای متن باز و رایگان است که میلیون ها وب سایت براساس آن طراحی شده است ولی متاسفانه در چند وقت اخیر با کشف برخی آسیب‌پذیری‌های اجرای کد از راه دور، در معرض حملات فعال قرار گرفته است.
این آسیب‌پذیری جدید زمانی کشف شد که گروه دروپال در حال بررسی آسیب‌پذیری Drupalgeddon2 بودند که در ماه مارس وصله شده بود ولی دورپال تلاش می‌کرد به‌روزرسانی جدیدی را برای آن ارائه دهد. آسیب‌پذیری قدیمی دارای شناسه‌ی CVE-2018-7600 بود. آسیب‌پذیری جدید دارای شناسه‌ی CVE-2018-7602 بوده و مهاجم می‌تواند با بهره‌برداری از آن کنترل وب‌سایت آسیب‌پذیر را در دست بگیرد.
به دلیل اینکه آسیب‌پذیری قدیمی بسیار مورد توجه قرار گرفته و مهاجمان نیز با بهره‌برداری از آن وب‌سایت‌ها را هدف قرار داده‌اند، گروه توسعه‌دهنده‌ی دروپال به مدیران وب‌سایت‌ها اکیدا توصیه کرده تا هرچه سریع‌تر آخرین به‌روزرسانی‌ها را دریافت کرده و نصب کنند.
اگر از دروپال ۷٫x استفاده می‌کنید، به نسخه‌ی ۷٫۵۹ به‌روزرسانی انجام دهید. اگر از دروپال ۸٫۵٫x استفاده می‌کنید، سیستم خود را با به نسخه‌ی ۸٫۵٫۳ ارتقاء دهید. اگر از نسخه‌ی ۸٫۴٫x استفاده می‌کنید که توسط دروپال پشتیبانی نمی‌شود، ابتدا وب‌سایت خود را به نسخه‌ی ۸٫۴٫۸ ارتقاء داده و در ادامه آخرین به‌روزرسانی ۸٫۵٫۳ را نصب کنید.
نکته‌ی ضروری که وجود دارد و باید به آن اشاره کنیم این است که به‌روزرسانی جدید در شرایطی به‌درستی کار خواهد کرد که قبلا وصله‌های مربوط به آسیب‌پذیری Drupalgeddon2 را دریافت و اعمال کرده باشید. گروه دروپال اعلام کرده تاکنون بهره‌برداری موفقی از این آسیب‌پذیری در دنیای واقعی گزارش نشده و بهره‌برداری از آن در زنجیره‌ای از آسیب‌پذیری‌ها، کار بسیار پیچیده‌ای است.
در مورد این آسیب‌پذیری جدید که می‌توانیم آن را Drupalgeddon3 نام‌گذاری کنیم، هنوز جزئیات فنی منتشر نشده است ولی به این معنی نیست که مهاجمان نمی‌توانند از آن بهره‌برداری کنند و شما به‌روزرسانی وب‌سایت خود را به فردا موکول کنید. ما شاهد هستیم که پس از گذشت چند ساعت از انتشار جزئیات فنی آسیب‌پذیری Drupalgeddon2، نفوذگران توانستند به‌طور خودکار بهره‌برداری‌هایی را توسعه داده و بدافزارهای استخراج ارز مجازی و یا درب پشتی را بر روی وب‌سایت‌های آسیب‌پذیر تزریق کنند.
علاوه بر این دو آسیب‌پذیری حیاتی، گروه دروپال یک آسیب‌پذیری XSS با درجه‌ی اهمیت متوسط را وصله کرده‌اند که نفوذگران می‌توانند با بهره‌برداری از آن حملاتی مانند جعل کوکی، ضبط کلیدها و فیسینگ را انجام دهند. در نهایت می‌توانیم به تمامی مدیران وب‌سایت‌ها توصیه کنیم که هرچه سریع‌تر وب‌سایت‌های خود را به‌روزرسانی کرده و آخرین وصله‌ها را اعمال کنند.
