Drupal исправил критическую уязвимость выполнения кода в модуле Field UI
Изображение: OpenAI
Drupal 14 октября исправил критическую уязвимость модуля ядра Field UI, которая позволяет выполнить код на сервере сайта через дополнительные модули. По данным команды безопасности проекта, как минимум один известный способ эксплуатации не требует входа в учётную запись.
Для эксплуатации CVE-2026-108097 одного ядра Drupal недостаточно. Доступ к уязвимости открывают дополнительные модули, названия которых не указаны в уведомлении. Открыть доступ к ней может и собственный код сайта. По сведениям The Hacker News, на 15 октября публичного кода эксплуатации и сообщений об атаках не было, хотя 12 октября команда безопасности предупредила, что эксплойты могут появиться в течение часов или дней. В мае, по данным Drupal, попытки эксплуатации другой уязвимости ядра зафиксировали в течение двух дней после уведомления; она затрагивала только сайты с PostgreSQL.
Для Drupal 11 вышли исправленные версии 11.4.10 и 11.3.19, для ветки 10.6.x — версия 10.6.19. Ветки Drupal 11 до 11.2.x включительно и Drupal 10 до 10.5.x включительно, а также Drupal 8 и 9 исправлений не получили: их поддержка завершена. Поддержка безопасности веток 11.3.x и 10.6.x закончится в декабре 2026 года. Среди сайтов, сообщивших версию ядра на drupal.org за неделю с 4 октября, 151 442 из 531 499 (28,5%) использовали затронутые ветки, для которых исправлений не выпустили.
Отдельно нужно обновить модуль Entity List до версии 3.0.10: в нём исправили аналогичную критическую уязвимость CVE-2026-108099. Для неё тоже известен способ эксплуатации без входа в учётную запись. Обновление ядра не обновляет этот модуль.
Если установить исправления пока нельзя, команда безопасности предлагает удалить модуль field_ui на время до обновления. Он входит в стандартный профиль установки Drupal. После удаления станут недоступны административные страницы управления полями и их отображением.
