Il bug, identificato come CVE-2026-9082, è stato scoperto nelle versioni 8.9.0 a 10.4.0 di Drupal Core. Gli attaccanti stanno sfruttando questo bug per iniettare codice SQL e ottenere accesso non autorizzato ai sistemi. Inoltre, stanno utilizzando token OAuth rubati da applicazioni SaaS di marketing di terze parti per spostarsi all'interno degli ambienti ERP. L'exploit è iniziato entro 72 ore dalla pubblicazione della patch, e il CISA ha aggiunto il bug alla lista KEV il 22 maggio 2026. Questo non è un problema di vulnerabilità, ma piuttosto un fallimento nella garanzia di sicurezza di terze parti. Il 97% degli attacchi nel 2025 ha coinvolto più superfici di attacco, e le compromissioni della catena di approvvigionamento ora costano in media 4,91 milioni di dollari. Il gruppo SCATTERED SPIDER ha utilizzato lo stesso pattern in una recente campagna di attacchi contro il settore manifatturiero, compromettendo token di Drift e Salesloft e causando danni a oltre 700 organizzazioni. Per difendersi da questo tipo di attacchi, è importante effettuare un'inventario di tutte le integrazioni SaaS adiacenti ai sistemi di gestione dei contenuti e revocare i token OAuth non utilizzati entro il terzo trimestre. Inoltre, è fondamentale isolare le istanze dei sistemi di gestione dei contenuti dai sistemi di business principali e applicare la segmentazione della rete per limitare il movimento laterale in caso di compromissione. Infine, è consigliabile eseguire esercizi di squadra viola per simulare catene di attacchi di iniezione SQL e furto di identità entro settembre