Kritieke kwetsbaarheid in Drupal OAuth Login maakt accountovername mogelijk
Een kritieke Drupal OAuth Login kwetsbaarheid kan aanvallers onder specifieke omstandigheden toegang geven tot bestaande Drupal-gebruikersaccounts. Het beveiligingsprobleem, geregistreerd als CVE-2026-118572, bevindt zich in de module OAuth Login – OAuth OIDC SSO. Door onvoldoende toegangscontrole en onvolledige verificatie van identiteitsgegevens kan een aanvaller zich mogelijk aanmelden als een andere gebruiker. De kwetsbaarheid is op 28 oktober 2026 bekendgemaakt en verholpen in versie 3.1.1. Vservs adviseert beheerders van Drupal-websites met Single Sign-On om de module onmiddellijk te controleren en bij te werken.
Het Drupal Security Team beoordeelt de kwetsbaarheid als Critical, met een risicoscore van 15 op 25.
De kwetsbaarheid kan gevolgen hebben voor organisaties die externe identityproviders gebruiken om toegang tot Drupal-websites en applicaties te beheren.
Wat is de Drupal OAuth Login kwetsbaarheid?
De Drupal OAuth Login kwetsbaarheid CVE-2026-118572 betreft de manier waarop de module externe authenticatiegegevens verwerkt.
De module ondersteunt Single Sign-On via OAuth 2.0 en OpenID Connect.
Hiermee kunnen gebruikers zich aanmelden via externe identiteitsdiensten, bijvoorbeeld Microsoft Entra ID, Google of andere compatibele identityproviders.
De kwetsbaarheid ontstaat door een combinatie van onvoldoende toegangscontrole op een configuratieroute en onvoldoende verificatie van e-mailadressen die door een identityprovider worden teruggegeven.
Onder specifieke omstandigheden kan een aanvaller hierdoor de identiteit van een bestaande Drupal-gebruiker aannemen.
Hoe werkt de authentication bypass?
Bij Single Sign-On ontvangt Drupal identiteitsgegevens van een externe identityprovider.
Deze informatie wordt gebruikt om een gebruiker aan een bestaand account te koppelen of toegang te verlenen.
Wanneer de verificatie van bepaalde identiteitsgegevens onvoldoende betrouwbaar is, kan een onjuiste koppeling ontstaan.
De kwetsbare module controleert onder bepaalde omstandigheden onvoldoende of het door de identityprovider verstrekte e-mailadres daadwerkelijk is geverifieerd.
Hierdoor kan een aanvaller mogelijk inloggen als een bestaande Drupal-gebruiker waarvan het e-mailadres bekend is.
De aanval is echter alleen mogelijk wanneer aanvullende voorwaarden aanwezig zijn.
Onder welke omstandigheden is de aanval mogelijk?
Volgens het Drupal Security Team moet een aanvaller beschikken over een account bij een identityprovider die door de betreffende Drupal-website wordt gebruikt.
Daarnaast moet de aanvaller invloed kunnen uitoefenen op ten minste één attribuut dat deze identityprovider teruggeeft.
Een voorbeeld hiervan is een gebruikersnaam.
Ook moet de aanvaller het e-mailadres kennen van het Drupal-account dat hij wil overnemen.
Hierdoor is de kwetsbaarheid niet automatisch exploiteerbaar op iedere Drupal-website waarop de module is geïnstalleerd.
De configuratie van de identityprovider en de manier waarop gebruikersaccounts worden gekoppeld, spelen een belangrijke rol.
Welke Drupal OAuth Login-versies zijn kwetsbaar?
De officiële beveiligingsmelding vermeldt de volgende versies:
- Getroffen software: OAuth Login – OAuth OIDC SSO.
- Projectnaam: oauth_login_oauth2.
- CVE: CVE-2026-118572.
- Ernst: Critical, Drupal-risicoscore 15/25.
- Kwetsbare versies: alle versies ouder dan 3.1.1.
- Eerste veilige versie: 3.1.1.
- Publicatiedatum: 28 oktober 2026.
De beveiligingsupdate corrigeert onder andere problemen met attribute mapping en de verificatie van e-mailadressen.
Wat zijn de mogelijke gevolgen?
Bij succesvolle exploitatie kan een aanvaller mogelijk toegang krijgen tot een bestaand Drupal-account.
De gevolgen hangen af van de rechten die aan dat account zijn gekoppeld.
Mogelijke gevolgen zijn:
- Ongeautoriseerde toegang tot gebruikersaccounts.
- Toegang tot afgeschermde websiteonderdelen.
- Inzage in vertrouwelijke informatie.
- Wijzigingen aan gegevens waarvoor het overgenomen account rechten heeft.
- Mogelijke overname van administratieve functionaliteit wanneer een account met beheerdersrechten wordt getroffen.
Een succesvolle authenticatiebypass betekent niet automatisch dat iedere aanvaller volledige servertoegang krijgt.
De daadwerkelijke impact is afhankelijk van de rechten van het getroffen Drupal-account.
Wordt CVE-2026-118572 actief misbruikt?
Met stand van 30 oktober 2026 vermelden de geraadpleegde officiële beveiligingsadviezen geen bevestigde actieve exploitatie van deze kwetsbaarheid.
Er is dus onvoldoende bewijs om te stellen dat deze specifieke kwetsbaarheid al grootschalig wordt misbruikt.
Vanwege de mogelijke gevolgen voor gebruikersaccounts adviseert Vservs wel om de beschikbare beveiligingsupdate direct te installeren.
Hoe controleert u de geïnstalleerde versie?
Bij Drupal-installaties die met Composer worden beheerd, kan de geïnstalleerde moduleversie worden gecontroleerd met:
composer show drupal/oauth_login_oauth2Wanneer een versie ouder dan 3.1.1 aanwezig is, moet de module worden bijgewerkt.
Controleer vóór het uitvoeren van de update of de nieuwe versie compatibel is met de gebruikte Drupal Core-versie en de bestaande identityproviderconfiguratie.
Welke beveiligingsmaatregelen zijn noodzakelijk?
- Controleer of OAuth Login – OAuth OIDC SSO op de Drupal-website is geïnstalleerd.
- Werk kwetsbare installaties bij naar versie 3.1.1 of nieuwer.
- Controleer de configuratie van gekoppelde identityproviders.
- Controleer of e-mailadressen door de identityprovider correct worden geverifieerd.
- Beperk de mogelijkheid voor gebruikers om identiteitsattributen ongecontroleerd te wijzigen.
- Controleer gebruikersrechten en accountkoppelingen.
- Onderzoek verdachte aanmeldingen en onverwachte wijzigingen aan gebruikersaccounts.
- Test de Single Sign-On-functionaliteit na de beveiligingsupdate.
Wanneer een onmiddellijke update onmogelijk is, kan tijdelijke uitschakeling van de kwetsbare SSO-functionaliteit worden overwogen.
Zorg in dat geval dat beheerders via een betrouwbare alternatieve methode toegang behouden tot Drupal.
Controle op mogelijke accountovername
Administratoren kunnen relevante authenticatie- en auditlogs onderzoeken om verdachte activiteiten te identificeren.
Let onder andere op:
- Onverwachte succesvolle SSO-aanmeldingen.
- Aanmeldingen via onbekende identityprovideraccounts.
- Ongebruikelijke wijzigingen in gebruikersprofielen.
- Nieuwe of gewijzigde accountkoppelingen.
- Onverwachte wijzigingen in gebruikersrollen.
- Ongeautoriseerde administratieve wijzigingen.
- Onverklaarbare activiteiten vanuit bestaande gebruikersaccounts.
Deze indicatoren zijn niet exclusief voor CVE-2026-118572.
Wanneer misbruik wordt vermoed, moeten relevante logbestanden en andere bewijsmiddelen worden veiliggesteld voordat accounts of sessies ingrijpend worden gewijzigd.
Managed VPS en Drupal Hosting bij Vservs
Vservs levert professionele hostinginfrastructuur voor bedrijven, organisaties en applicatieontwikkelaars.
Onze Managed VPS Hosting biedt professioneel serverbeheer, monitoring en onderhoud van de onderliggende Linux-serveromgeving.
Voor applicaties die gebruikmaken van Drupal en externe authenticatiesystemen blijft regelmatig onderhoud van modules en identityproviderconfiguraties essentieel.
Meer informatie over actuele beveiligingsrisico’s vindt u op onze Vservs Security & Beveiligingsupdates.
Conclusie
De Drupal OAuth Login kwetsbaarheid CVE-2026-118572 kan onder specifieke omstandigheden leiden tot ongeautoriseerde toegang tot bestaande Drupal-accounts.
De kwetsbaarheid is verholpen in versie 3.1.1.
Vservs adviseert organisaties die deze Single Sign-On-module gebruiken om hun installatie onmiddellijk bij te werken en de configuratie van gekoppelde identityproviders te controleren.