Wie Drupal-Sicherheitsupdates funktionieren und was Betreiber tun müssen

Drupal-Sicherheitsupdates für den Core und für abgedeckte Module erscheinen zusammen mit einem öffentlichen Hinweis auf die Lücke. Ab diesem Moment kennen auch Angreifer die Schwachstelle und können gezielt nach Websites suchen, auf denen die alte Version noch läuft. Entscheidend ist dann, wie schnell das Update auf Ihrer Website ist.

Zwei Begriffe vorab. Der Core ist das Grundsystem von Drupal, wie es auf drupal.org zum Download bereitsteht. Contrib-Module sind Erweiterungen aus der Community, die ebenfalls auf drupal.org liegen, etwa für Formulare, Suchmaschinenoptimierung oder Shops. Sicherheitsupdates gibt es für beides.

Wie Drupal-Sicherheitsupdates entstehen

Wer eine Lücke in Drupal findet, soll sie nicht öffentlich melden, sondern an das Drupal Security Team. Das Team prüft und bewertet die Meldung und hält sie vertraulich, bis eine Korrektur bereitsteht. Dann erscheinen die neue Version und ein Security Advisory, ein Sicherheitshinweis mit Beschreibung, Schweregrad und betroffenen Versionen. Alle Hinweise sammelt drupal.org unter drupal.org/security.

Feste Termine für Core und Module

Für den Core gibt es laut Release-Kalender ein monatliches Zeitfenster. Es liegt in der Regel am dritten Mittwoch im Monat und beginnt um 12 Uhr New Yorker Zeit, in Deutschland meist um 18 Uhr. Nicht jedes Fenster bringt tatsächlich ein Update.

Für Contrib-Module kann jeden Mittwoch ein Sicherheitsupdate erscheinen. Veröffentlicht wird zwischen 16 und 22 Uhr UTC, in Deutschland also am späten Nachmittag oder Abend.

Drupal-Versionsnummern bestehen aus drei Teilen. Bei 11.3.8 ist 11 die Hauptversion, 3 die Minor-Version mit neuen Funktionen und 8 die Patch-Version mit reinen Fehlerkorrekturen. Ein Sicherheitsupdate hat keine besondere Nummer, es erscheint als neue Patch-Version. Ob eine Version eine Lücke schließt, verrät erst der Hinweis dazu.

Jede Minor-Version des Core wird ein Jahr lang unterstützt, in den letzten sechs Monaten nur noch mit Sicherheitskorrekturen. Bleibt eine Website zu lange auf einer alten Minor-Version, bekommt sie keine Sicherheitsupdates mehr, obwohl die Hauptversion noch unterstützt wird.

Module mit und ohne Sicherheitsabdeckung

Nicht jedes Contrib-Modul fällt unter die Regeln des Security Teams. Abgedeckt sind nur stabile Versionen von Projekten, deren Betreuer sich dafür angemeldet haben. Auf der Projektseite erkennen Sie das an einem grauen Schild-Symbol mit dem Satz „Stable releases for this project are covered by the security advisory policy“.

Alpha-, Beta- und Entwicklungsversionen erhalten keine Sicherheitshinweise, auch wenn das Projekt sonst abgedeckt ist. Fehlt das Schild, prüft niemand außer dem Betreuer, ob gemeldete Lücken geschlossen werden. Bei solchen Modulen sollte Ihr Entwickler prüfen, wie aktiv das Projekt gepflegt wird, bevor Sie es einsetzen.

Was die Schweregrade bedeuten

Jede Lücke bekommt eine Punktzahl von 0 bis 25. Das Security Team berechnet sie nach einem Verfahren des US-Standardinstituts NIST aus sechs Merkmalen:

• wie leicht sich die Lücke ausnutzen lässt
• ob der Angreifer ein Benutzerkonto braucht
• ob er vertrauliche Daten lesen kann
• ob er Daten verändern kann
• ob schon ein fertiger Angriffscode existiert
• ob jede Installation betroffen ist oder nur seltene Einstellungen

Bei kritischen Lücken, die sich leicht für automatisierte Angriffe nutzen lassen, kündigt das Team ein Update manchmal vorab an. Diese Public Service Announcements, kurz PSA, erscheinen zum Beispiel am Montag vor einem Mittwochstermin. Planen Sie dann jemanden ein, der zum Zeitpunkt der Veröffentlichung bereitsteht.

Woher Sie von neuen Updates erfahren

Drupal bringt dafür das Core-Modul Update Status mit. Es fragt ab Werk täglich auf drupal.org nach neuen Versionen von Core, Modulen und Themes. Voraussetzung ist, dass Cron läuft, also die regelmäßigen Hintergrundaufgaben von Drupal. Das Ergebnis steht im Backend unter Berichte und Verfügbare Aktualisierungen.

Liegt ein Sicherheitsupdate vor, zeigt Drupal auf den Verwaltungsseiten zusätzlich eine Fehlermeldung. Installieren kann Update Status nichts, es meldet nur.

In den Einstellungen des Berichts können Sie E-Mail-Adressen für Benachrichtigungen eintragen. Ab Werk ist die Liste leer. Wählen Sie dort die Option für reine Sicherheitsupdates, landen nur die dringenden Meldungen im Postfach.

Die Hinweise des Security Teams können Sie außerdem direkt beziehen. Mit einem Benutzerkonto auf drupal.org abonnieren Sie den Sicherheits-Newsletter. Dazu gibt es RSS-Feeds, getrennt für Core, Contrib und PSA, und Konten des Teams bei Mastodon und Bluesky.

Ein Drupal-Core-Update in sieben Schritten

Aktuelle Drupal-Websites werden mit Composer verwaltet. Composer ist ein Programm, das Drupal, Module und die von ihnen benötigten Bibliotheken in zueinander passenden Versionen installiert. Drush ist ein Werkzeug, mit dem Entwickler Drupal über die Kommandozeile des Servers bedienen. Die Anleitung auf drupal.org beschreibt das Update für Entwickler. Ergänzt um eine Testumgebung sieht der Ablauf so aus:

1. Hinweis lesen und Stand prüfen. Lesen Sie den Sicherheitshinweis und prüfen Sie, ob Ihre Version betroffen ist. Der Befehl composer outdated "drupal/*" zeigt, für welche Drupal-Pakete eine neuere Version vorliegt.
2. Backup anlegen. Sichern Sie Datenbank, Code und hochgeladene Dateien, zum Beispiel mit drush archive:dump. Nur mit Backup kommen Sie zurück, falls etwas schiefgeht.
3. Core auf der Testumgebung aktualisieren. Die Testumgebung (auch Staging-System genannt) ist eine Kopie Ihrer Website, die Besucher nicht sehen. Dort holt composer update "drupal/core-*" --with-all-dependencies die neue Version samt aller Pakete, von denen sie abhängt.
4. Datenbank-Updates ausführen. Manche Versionen ändern die Tabellen, in denen Drupal Inhalte und Einstellungen speichert. drush updatedb führt diese Änderungen aus, drush cache:rebuild leert danach die Zwischenspeicher.
5. Testen. Öffnen Sie Berichte und Statusbericht und beheben Sie neue Fehler. Prüfen Sie danach Startseite, Formulare, Login und die Seiten, mit denen Ihre Redaktion täglich arbeitet.
6. Live einspielen. Übertragen Sie den getesteten Stand, also die Dateien composer.json und composer.lock, auf die Live-Website. Dort installiert composer install genau die Versionen, die in composer.lock festgehalten sind. Danach folgen drush updatedb und drush cache:rebuild. Während der Datenbank-Updates schaltet Drupal automatisch in den Wartungsmodus.
7. Nachkontrolle. Unter Verfügbare Aktualisierungen darf keine Sicherheitswarnung mehr stehen. Prüfen Sie die wichtigsten Seiten ein zweites Mal im Live-Betrieb.

Für Contrib-Module gilt derselbe Ablauf, nur mit dem Paketnamen des Moduls im Composer-Befehl. Patch-Versionen des Core enthalten laut drupal.org nur Fehlerkorrekturen, die bestehende Websites nicht stören sollen. Eine neue Minor-Version bringt dagegen neue Funktionen und kündigt an, welche Programmteile mit der nächsten Hauptversion wegfallen. Vor einem solchen Update lohnt der Blick in die Versionshinweise.

Was nach dem Support-Ende einer Version passiert

Sicherheitsupdates gibt es nur für unterstützte Versionen. Drupal 7 erhält seit dem 5. Januar 2025 keine mehr, weder für den Core noch für Module und Themes. Was das für Betreiber bedeutet, steht in unserem Beitrag zum Support-Ende von Drupal 7.

Für Drupal 10 ist es am 9. Dezember 2026 so weit. Seit Ende Juni 2026 bekommt dort nur noch die Minor-Version 10.6 Sicherheitsupdates. Wie Sie den Wechsel planen, erklären wir im Beitrag zum Support-Ende von Drupal 10.

Nach dem Stichtag läuft die Website weiter. Neu entdeckte Lücken schließt das Drupal Security Team dann aber nicht mehr, und viele Module stellen die Unterstützung für die alte Version nach und nach ein. Für Drupal 7 verkaufen einzelne Anbieter verlängerten Sicherheitssupport. Der ersetzt ein Upgrade auf eine unterstützte Version genauso wenig wie ein Wartungsvertrag.

Selbst machen oder Wartungsvertrag

Ein Core-Update ist mit etwas Übung schnell erledigt. Schwierig wird es, wenn ein Update eine Funktion stört, ein Modul nicht mehr zur neuen Version passt oder die Lücke an einem Mittwochabend bekannt wird.

In unserer Drupal-Wartung verfolgen wir die Sicherheitshinweise für Sie und spielen die Updates ein. Kritische Sicherheitslücken in Core oder Modulen schließen wir innerhalb von 24 Stunden, nachdem das Update erschienen ist. Alle weiteren Reaktionszeiten halten wir im Wartungsvertrag fest.

Aus unserer Praxis

Wir arbeiten seit 2009 nur mit Drupal. Im laufenden Betrieb betreuen wir unter anderem den Onlineshop von Juui sowie die Websites von Desideria und der Mitterfelder.

Jedes Update läuft bei uns zuerst über eine Testumgebung. Erst danach geht es auf die Live-Website. Datenbank und Code sichern wir automatisch. Liegt die Website auf von uns betriebenen Servern in der Hetzner Cloud in Deutschland, überwachen wir auch den Server.

Bei einer neuen Website in der Wartung prüfen wir zuerst Version, Module und Sicherheitsstand und spielen offene Updates ein. Wenn Sie wissen möchten, wie es um Ihre Website steht, schreiben Sie uns über das Kontaktformular.