Drupal retter RCE-sårbarheder, mens der advares om udnyttelse

Drupal har udsendt sikkerhedsopdateringer til to kritiske sårbarheder, der kan gøre det muligt at udføre fjernkørsel af kode på berørte websteder. Drupal RCE-sårbarhederne involverer kernemodulet Field UI og tillægsmodulet Entity List.

Projektets sikkerhedsteam advarede om, at angribere kan udvikle udnyttelsesmetoder inden for få timer eller dage efter offentliggørelsen. Derfor bør administratorer prioritere opdateringerne og samtidig kontrollere, hvilke moduler og hvilken tilpasset kode deres websteder anvender.

To sårbarheder udsætter websteder for kodeeksekvering

Den første sårbarhed, CVE-2026-108097, påvirker Field UI-modulet i Drupals kernesystem. Selvom alle understøttede versioner af kernesystemet indeholder sårbarheden, kan angribere ikke udnytte den gennem Drupals kernesystem alene.

I stedet kan tillægsmoduler eksponere den sårbare funktionalitet gennem flere angrebsveje. Mindst én kendt angrebsvej kræver ingen godkendelse. Tilpasset webstedskode kan også skabe forhold, der muliggør udnyttelse.

Det andet problem, CVE-2026-108099, påvirker Entity List. Dette tillægsmodul giver administratorer mulighed for at oprette lister over entiteter uden at bruge Views.

Tilsvarende afhænger udnyttelse af Entity List-sårbarheden af samspil med tillægsmoduler eller tilpasset kode. Forskere har identificeret mindst én angrebsvej, som ikke kræver godkendelse.

Disse forhold betyder, at webstedets konfiguration har betydning. Administratorer bør dog ikke antage, at deres installationer er sikre, blot fordi udnyttelse kræver yderligere komponenter.

Sikkerhedsteamet advarede administratorer før offentliggørelsen

Drupal udsendte en forhåndsmeddelelse den 12. oktober og bad webstedsoperatører om at forberede sig på sikkerhedsudgivelsen.

Teamet anbefalede at installere den seneste understøttede fejlrettelsesversion for hvert websteds versionsgren inden den 14. oktober. Denne forberedelse ville hjælpe administratorer med at løse andre opgraderingsproblemer, før sikkerhedsrettelserne blev installeret.

Advarslen fremhævede, hvor hurtigt angribere kan omsætte oplysninger om sårbarheder til fungerende udnyttelsesmetoder. Den tilgængelige sikkerhedsmeddelelse bekræfter dog ikke aktive angreb mod disse Drupal RCE-sårbarheder.

Ifølge projektet driver Drupal mere end én million websteder. Offentlige myndigheder, universiteter og nonprofitorganisationer er blandt brugerne.

Hvilke Drupal-versioner indeholder rettelserne?

Administratorer bør installere den rettede version, der svarer til deres understøttede versionsgren:

• Drupal 10.6: Opdater til 10.6.19.
• Drupal 11.3: Opdater til 11.3.19.
• Drupal 11.4: Opdater til 11.4.10.
• Entity List: Opdater tillægsmodulet til 3.0.10.

Samtidig har Drupal-versioner ældre end 10.6.x nået slutningen af deres levetid. Drupal 11-versioner før 11.3.x modtager heller ikke længere support.

Operatører, der anvender disse ældre versionsgrene, skal derfor opgradere til en understøttet version.

Sårbarhederne påvirker også forhåndsversioner af Drupal 12, der er ældre end beta2. Disse udviklingsversioner er uegnede til produktionswebsteder, mens den endelige Drupal 12.0-udgivelse vil indeholde begge rettelser.

Fjernelse af Field UI giver midlertidig beskyttelse

For administratorer, der ikke kan opgradere med det samme, anbefaler Drupal at afinstallere kernemodulet Field UI, der identificeres som field_ui.

Dette giver en effektiv midlertidig beskyttelse, mens operatørerne forbereder de nødvendige opdateringer. Installation af de rettede versioner er dog fortsat den anbefalede måde at håndtere sårbarhederne på.

Drupal Steward tilbyder beskyttelse mod visse kendte angrebsmetoder. Det dækker dog ikke alle mulige udnyttelsesveje, så administratorer bør stadig installere sikkerhedsrettelserne eller gennemføre den anbefalede midlertidige beskyttelsesforanstaltning.