Drupal har lansert sikkerhetsoppdateringer for to kritiske sårbarheter som kan gjøre det mulig å kjøre kode eksternt på berørte nettsteder. Drupal RCE-sårbarhetene involverer kjernemodulen Field UI og tilleggsmodulen Entity List.
Prosjektets sikkerhetsteam advarte om at angripere kan utvikle utnyttelsesmetoder i løpet av timer eller dager etter offentliggjøringen. Derfor bør administratorer prioritere oppdateringene og samtidig kontrollere hvilke moduler og hvilken tilpasset kode nettstedene deres bruker.
To sårbarheter utsetter nettsteder for kodekjøring
Den første sårbarheten, CVE-2026-108097, påvirker Field UI-modulen i Drupals kjernesystem. Selv om alle støttede versjoner av kjernesystemet inneholder sårbarheten, kan angripere ikke utnytte den gjennom Drupals kjernesystem alene.
I stedet kan tilleggsmoduler eksponere den sårbare funksjonaliteten gjennom flere angrepsveier. Minst én kjent angrepsvei krever ingen autentisering. Tilpasset nettstedskode kan også skape forhold som muliggjør utnyttelse.
Det andre problemet, CVE-2026-108099, påvirker Entity List. Denne tilleggsmodulen lar administratorer opprette lister over entiteter uten å bruke Views.
På samme måte avhenger utnyttelse av Entity List-sårbarheten av samspill med tilleggsmoduler eller tilpasset kode. Forskere har identifisert minst én angrepsvei som ikke krever autentisering.
Disse forholdene betyr at nettstedets konfigurasjon har betydning. Administratorer bør imidlertid ikke anta at installasjonene deres er sikre bare fordi utnyttelse krever ytterligere komponenter.
Sikkerhetsteamet advarte administratorer før offentliggjøringen
Drupal sendte ut et forhåndsvarsel 12. oktober og ba nettstedsoperatører forberede seg på sikkerhetsutgivelsen.
Teamet anbefalte å installere den nyeste støttede feilrettingsversjonen for hvert nettsteds versjonsgren før 14. oktober. Disse forberedelsene ville hjelpe administratorer med å løse andre oppgraderingsproblemer før sikkerhetsoppdateringene ble installert.
Advarselen fremhevet hvor raskt angripere kan omdanne informasjon om sårbarheter til fungerende utnyttelsesmetoder. Den tilgjengelige sikkerhetsmeldingen bekrefter imidlertid ikke aktive angrep mot disse Drupal RCE-sårbarhetene.
Ifølge prosjektet driver Drupal mer enn én million nettsteder. Offentlige etater, universiteter og ideelle organisasjoner er blant brukerne.
Hvilke Drupal-versjoner inneholder rettelsene?
Administratorer bør installere den oppdaterte versjonen som samsvarer med deres støttede versjonsgren:
- Drupal 10.6: Oppdater til 10.6.19.
- Drupal 11.3: Oppdater til 11.3.19.
- Drupal 11.4: Oppdater til 11.4.10.
- Entity List: Oppdater tilleggsmodulen til 3.0.10.
Samtidig har Drupal-versjoner eldre enn 10.6.x nådd slutten av sin levetid. Drupal 11-versjoner før 11.3.x mottar heller ikke lenger støtte.
Operatører som bruker disse eldre versjonsgrenene, må derfor oppgradere til en støttet versjon.
Sårbarhetene påvirker også forhåndsversjoner av Drupal 12 som er eldre enn beta2. Disse utviklingsversjonene er uegnet for produksjonsnettsteder, mens den endelige Drupal 12.0-utgivelsen vil inneholde begge rettelsene.
Fjerning av Field UI gir midlertidig beskyttelse
For administratorer som ikke kan oppgradere umiddelbart, anbefaler Drupal å avinstallere kjernemodulen Field UI, identifisert som field_ui.
Dette gir en effektiv midlertidig beskyttelse mens operatørene forbereder de nødvendige oppdateringene. Likevel er installasjon av de rettede versjonene fortsatt den anbefalte måten å håndtere sårbarhetene på.
Drupal Steward tilbyr beskyttelse mot enkelte kjente angrepsmetoder. Det dekker imidlertid ikke alle mulige utnyttelsesveier, så administratorer bør fortsatt installere sikkerhetsoppdateringene eller gjennomføre det anbefalte midlertidige tiltaket.
0 responses to “Drupal retter RCE-sårbarheter samtidig som det advares mot utnyttelse”