Drupal schließt RCE-Sicherheitslücken und warnt vor möglicher Ausnutzung

Drupal hat Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die eine Remote-Code-Ausführung auf betroffenen Websites ermöglichen könnten. Die Drupal-RCE-Sicherheitslücken betreffen das Kernmodul Field UI und das Zusatzmodul Entity List.

Das Sicherheitsteam des Projekts warnte davor, dass Angreifer innerhalb weniger Stunden oder Tage nach der Offenlegung Exploits entwickeln könnten. Daher sollten Administratoren die Updates priorisieren und gleichzeitig überprüfen, welche Module und welchen benutzerdefinierten Code ihre Websites verwenden.

Zwei Schwachstellen ermöglichen die Ausführung von Code auf Websites

Die erste Schwachstelle, CVE-2026-108097, betrifft das Field-UI-Modul im Drupal-Kernsystem. Obwohl alle unterstützten Core-Versionen die Sicherheitslücke enthalten, können Angreifer sie nicht allein über das Drupal-Kernsystem ausnutzen.

Stattdessen können Zusatzmodule die anfällige Funktionalität über mehrere Angriffswege zugänglich machen. Mindestens ein bekannter Angriffsweg erfordert keine Authentifizierung. Auch benutzerdefinierter Website-Code kann Bedingungen schaffen, die eine Ausnutzung ermöglichen.

Die zweite Schwachstelle, CVE-2026-108099, betrifft Entity List. Dieses Zusatzmodul ermöglicht Administratoren, Listen von Entitäten zu erstellen, ohne Views zu verwenden.

Auch die Ausnutzung der Entity-List-Schwachstelle hängt vom Zusammenspiel mit Zusatzmodulen oder benutzerdefiniertem Code ab. Forscher haben mindestens einen Angriffsweg identifiziert, der keine Authentifizierung erfordert.

Diese Bedingungen zeigen, dass die Konfiguration einer Website eine wichtige Rolle spielt. Administratoren sollten jedoch nicht davon ausgehen, dass ihre Installationen sicher sind, nur weil für eine Ausnutzung zusätzliche Komponenten erforderlich sind.

Sicherheitsteam warnte Administratoren vor der Offenlegung

Drupal veröffentlichte am 12. Oktober eine Vorabwarnung und forderte Website-Betreiber auf, sich auf die Sicherheitsupdates vorzubereiten.

Das Team empfahl, vor dem 14. Oktober die neueste unterstützte Fehlerbehebungsversion des jeweiligen Versionszweigs zu installieren. Diese Vorbereitung sollte Administratoren helfen, andere Upgrade-Probleme zu beheben, bevor sie die Sicherheitspatches anwenden.

Die Warnung verdeutlichte, wie schnell Angreifer Informationen über Schwachstellen in funktionsfähige Exploits umwandeln könnten. Die vorliegende Sicherheitsmitteilung bestätigt jedoch keine aktiven Angriffe auf diese Drupal-RCE-Sicherheitslücken.

Nach Angaben des Projekts wird Drupal auf mehr als einer Million Websites eingesetzt. Zu den Nutzern gehören Behörden, Universitäten und gemeinnützige Organisationen.

Welche Drupal-Versionen enthalten die Korrekturen?

Administratoren sollten die gepatchte Version installieren, die ihrem unterstützten Versionszweig entspricht:

• Drupal 10.6: Auf Version 10.6.19 aktualisieren.
• Drupal 11.3: Auf Version 11.3.19 aktualisieren.
• Drupal 11.4: Auf Version 11.4.10 aktualisieren.
• Entity List: Das Zusatzmodul auf Version 3.0.10 aktualisieren.

Drupal-Versionen vor 10.6.x haben inzwischen das Ende ihres Lebenszyklus erreicht. Auch Drupal-11-Versionen vor 11.3.x werden nicht mehr unterstützt.

Betreiber, die diese älteren Versionszweige verwenden, müssen daher auf eine unterstützte Version wechseln.

Die Schwachstellen betreffen außerdem Vorabversionen von Drupal 12 vor beta2. Diese Entwicklungsversionen sind für produktive Websites ungeeignet, während die endgültige Version Drupal 12.0 beide Korrekturen enthalten wird.

Entfernung von Field UI bietet vorübergehenden Schutz

Administratoren, die nicht sofort aktualisieren können, empfiehlt Drupal, das Kernmodul Field UI mit der Kennung field_ui zu deinstallieren.

Diese Maßnahme bietet einen wirksamen vorübergehenden Schutz, während Betreiber die erforderlichen Updates vorbereiten. Dennoch bleibt die Installation der korrigierten Versionen die empfohlene Methode zur Behebung der Schwachstellen.

Drupal Steward bietet Schutz vor einigen bekannten Angriffsmethoden. Allerdings deckt es nicht alle möglichen Ausnutzungswege ab. Daher sollten Administratoren weiterhin die Sicherheitspatches installieren oder die empfohlene vorübergehende Schutzmaßnahme umsetzen.