Drupal åtgärdar RCE-sårbarheter samtidigt som varning för exploatering utfärdas

Drupal har släppt säkerhetsuppdateringar för två kritiska sårbarheter som kan göra det möjligt att fjärrköra kod på drabbade webbplatser. Drupal RCE-sårbarheterna berör kärnmodulen Field UI och tilläggsmodulen Entity List.

Projektets säkerhetsteam varnade för att angripare kan utveckla exploateringsmetoder inom några timmar eller dagar efter offentliggörandet. Därför bör administratörer prioritera uppdateringarna och samtidigt kontrollera vilka moduler och vilken anpassad kod deras webbplatser använder.

Två sårbarheter utsätter webbplatser för kodexekvering

Den första sårbarheten, CVE-2026-108097, påverkar Field UI-modulen i Drupals kärnsystem. Även om alla versioner av kärnsystemet som fortfarande stöds innehåller sårbarheten kan angripare inte utnyttja den enbart genom Drupals kärnsystem.

I stället kan tilläggsmoduler exponera den sårbara funktionaliteten genom flera angreppsvägar. Minst en känd angreppsväg kräver ingen autentisering. Anpassad webbplatskod kan också skapa förutsättningar som möjliggör exploatering.

Det andra problemet, CVE-2026-108099, påverkar Entity List. Denna tilläggsmodul gör det möjligt för administratörer att skapa listor över entiteter utan att använda Views.

På samma sätt är exploatering av Entity List-sårbarheten beroende av samverkan med tilläggsmoduler eller anpassad kod. Forskare har identifierat minst en angreppsväg som inte kräver autentisering.

Dessa förutsättningar innebär att webbplatsens konfiguration spelar roll. Administratörer bör dock inte anta att deras installationer är säkra enbart för att exploatering kräver ytterligare komponenter.

Säkerhetsteamet varnade administratörer före offentliggörandet

Drupal utfärdade en förhandsvarning den 12 oktober och uppmanade webbplatsoperatörer att förbereda sig inför säkerhetsuppdateringen.

Teamet rekommenderade att installera den senaste stödda versionen med buggfixar för varje webbplats versionsgren före den 14 oktober. Dessa förberedelser skulle hjälpa administratörer att lösa andra uppgraderingsproblem innan säkerhetsuppdateringarna installerades.

Varningen betonade hur snabbt angripare kan omvandla information om sårbarheter till fungerande exploateringsmetoder. Det tillgängliga säkerhetsmeddelandet bekräftar dock inga aktiva attacker mot dessa Drupal RCE-sårbarheter.

Enligt projektet används Drupal av över en miljon webbplatser. Bland användarna finns myndigheter, universitet och ideella organisationer.

Vilka Drupal-versioner innehåller korrigeringarna?

Administratörer bör installera den korrigerade version som motsvarar deras versionsgren med aktivt stöd:

• Drupal 10.6: Uppdatera till 10.6.19.
• Drupal 11.3: Uppdatera till 11.3.19.
• Drupal 11.4: Uppdatera till 11.4.10.
• Entity List: Uppdatera tilläggsmodulen till 3.0.10.

Samtidigt har Drupal-versioner äldre än 10.6.x nått slutet av sin livscykel. Drupal 11-versioner före 11.3.x får inte heller längre stöd.

Operatörer som använder dessa äldre versionsgrenar behöver därför uppgradera till en version med aktivt stöd.

Sårbarheterna påverkar även förhandsversioner av Drupal 12 som är äldre än beta2. Dessa utvecklingsversioner är olämpliga för produktionswebbplatser, medan den slutliga versionen Drupal 12.0 kommer att innehålla båda korrigeringarna.

Borttagning av Field UI ger ett tillfälligt skydd

För administratörer som inte kan uppgradera omedelbart rekommenderar Drupal att avinstallera kärnmodulen Field UI, som identifieras som field_ui.

Detta ger ett effektivt tillfälligt skydd medan operatörerna förbereder de nödvändiga uppdateringarna. Att installera de korrigerade versionerna är dock fortfarande den rekommenderade åtgärden mot sårbarheterna.

Drupal Steward erbjuder skydd mot vissa kända angreppsmetoder. Det täcker dock inte alla möjliga exploateringsvägar. Därför bör administratörer ändå installera säkerhetsuppdateringarna eller genomföra den rekommenderade tillfälliga skyddsåtgärden.