Drupal закриває критичні RCE-уразливості в Field UI та Entity List
Команда Drupal випустила оновлення безпеки для двох критичних уразливостей, що дозволяють віддалене виконання коду. Адміністраторів попереджають: експлойти можуть з’явитися найближчим часом.
Drupal випустив виправлення для двох критичних уразливостей, які дають змогу зловмисникам виконувати код на віддалених серверах. Проєкт застеріг адміністраторів, що експлойти можуть з’явитися протягом годин або днів після розкриття деталей.
Що саме виправили
Проблеми зачіпають ядро та один з модулів екосистеми:
- CVE-2026-108097 — RCE у модулі ядра Field UI, що за певних умов відкриває шлях до виконання довільного коду.
- CVE-2026-108099 — RCE у модулі Entity List (contributed-модуль для формування списків сутностей без Views).
Уразливість у Field UI не експлуатується «чистим» ядром, однак contributed-модулі можуть створити кілька векторів атаки, включно з принаймні одним без автентифікації. Подібні умови стосуються й Entity List; відомий щонайменше один шлях експлуатації без входу в систему. Користувацький код також може ненавмисно відкрити доступ до вразливої функціональності.
Кому оновлюватися
За даними проєкту, уразливі всі підтримувані гілки Drupal core. Релізи до 10.6.x та до 11.3.x вважаються завершеними й більше не підтримуються. Попередні версії Drupal 12 до beta2 теж мають ці проблеми, але вони не призначені для продакшну; стабільний реліз 12.0 отримає виправлення.
Drupal — вільна CMS з відкритим кодом, якою користуються понад мільйон сайтів, зокрема ресурси держустанов, університетів і неприбуткових організацій.
Рекомендовані версії
- Оновити Drupal core до 10.6.19, 11.3.19 або 11.4.10 — залежно від вашої гілки.
- Оновити Entity List до 3.0.10.
Команда безпеки просила закласти час на оновлення до 14 жовтня, аби вирішити можливі технічні нюанси ще до «вікна» релізу.
Тимчасові заходи та покриття
Якщо оновитися негайно неможливо, рекомендують видалити модуль ядра Field UI (field_ui) — це ефективний тимчасовий запобіжний крок. Сервіс Drupal Steward блокує частину відомих векторів атак, але не гарантує захист від усіх можливих експлойтів.
Фото: BleepingComputer
