Drupal отстрани две критични уязвимости, които биха могли да позволят на атакуващи да изпълняват отдалечено код на уебсайтове, работещи с всяка поддържана версия на системата за управление на съдържанието.

Проблемите със сигурността засягат модула Field UI в ядрото на софтуера и допълнителния модул Entity List. Drupal публикува предварително предупреждение в началото на седмицата, призовавайки администраторите незабавно да инсталират обновленията, тъй като атакуващите биха могли да разработят експлойти малко след разкриването на уязвимостите.

„Екипът по сигурност на Drupal настоятелно ви приканва да отделите време за обновяване на ядрото в този момент, тъй като експлойти могат да бъдат разработени в рамките на часове или дни“, предупреди екипът по сигурност на проекта.

„Препоръчваме да обновите до най-новата поддържана версия с корекции (bugfix) за версията на Drupal на вашия сайт преди 14 октомври, за да можете да адресирате всички останали проблеми при надграждане преди прозореца за сигурност.“

Drupal е безплатна система за управление на съдържание с отворен код, използвана за изграждане и управление на уебсайтове, особено популярна сред държавни агенции, университети и организации с нестопанска цел.

Според уебсайта на проекта над един милион уебсайта работят с Drupal.

По-рано тази седмица проектът с отворен код разкри подробностите за двата проблема, отбелязвайки, че „всички текущо поддържани версии на ядрото на Drupal са засегнати“.

  • CVE-2026-108097: Уязвимост за отдалечено изпълнение на код в модула Field UI на ядрото на Drupal, която би могла да позволи на атакуващи да изпълнят произволен код на засегнатите сървъри.
  • CVE-2026-108099: Дефект в Entity List – допълнителен модул за създаване на списъци с обекти без Views, който би могъл да позволи отдалечено изпълнение на код.

Бюлетинът за сигурност за CVE-2026-108097 отбелязва, че дефектът не може да бъде експлоатиран единствено чрез ядрото на Drupal, но допълнителни модули могат да осигурят множество пътища за експлоатация, включително поне един, който не изисква автентикация.

Освен това персонализиран код също може да изложи уязвимата функционалност на риск.

Успешната експлоатация на CVE-2026-108099 изисква подобно взаимодействие с допълнителни модули или персонализиран код и включва поне един известен път за експлоатация, който не изисква автентикация.

Администраторите са призовани да обновят ядрото на Drupal до версия 10.6.19, 11.3.19 или 11.4.10, в зависимост от техния клон на изданието, както и да обновят Entity List до 3.0.10.

„Всички версии на Drupal преди 10.6.x, както и всички версии на Drupal 11 преди 11.3.x, са с прекратена поддръжка и вече не се поддържат“, заяви разработчикът.

Дефектите засягат и предварителните издания на Drupal 12 преди beta2, но те не са предназначени за използване в производствени среди. Окончателната стабилна версия 12.0 ще включва корекции и за двата дефекта.

На администраторите, които не могат да надградят до защитена версия, се препоръчва да деинсталират модула Field UI (field_ui) от ядрото на Drupal като ефективна мярка за смекчаване на риска.

Също така Drupal Steward защитава срещу някои известни вектори на атака, но не покрива всяка възможна експлоатация.