Drupal har täppt till två kritiska sårbarheter för fjärrkörning av kod

Drupal har åtgärdat två kritiska sårbarheter som kan göra det möjligt att köra kod på distans på webbplatser med alla versioner av innehållshanteringssystemet som fortfarande stöds. Sårbarheterna berör Drupal-kärnans modul Field UI och den tillagda modulen Entity List.

Projektet uppmanade administratörer att installera uppdateringarna snabbt och varnade för att angripare kan utveckla exploateringskod inom timmar eller dagar efter att sårbarheterna offentliggjorts. Säkerhetsmeddelandet för CVE-2026-108097 säger att sårbarheten inte kan utnyttjas med enbart Drupal-kärnan, men att tillagda moduler eller anpassad kod kan öppna exploateringsvägar. Minst en sådan väg kräver ingen autentisering. Även exploatering av CVE-2026-108099 kräver samverkan med tillagda moduler eller anpassad kod; minst en känd väg kräver ingen autentisering.

Administratörer bör uppdatera Drupal-kärnan till version 10.6.19, 11.3.19 eller 11.4.10, beroende på versionsgren, och Entity List till 3.0.10. Versioner före Drupal 10.6.x och Drupal 11.3.x stöds inte längre. Även förhandsversioner av Drupal 12 före beta2 är berörda, men de är inte avsedda för produktionsmiljöer. Projektet uppger att den slutliga stabila versionen Drupal 12.0 kommer att innehålla korrigeringar.

Om en uppgradering inte är möjlig beskriver Drupal avinstallation av kärnmodulen Field UI (field_ui) som en effektiv begränsning. Drupal Steward skyddar mot vissa kända angreppsvägar, men täcker inte alla möjliga exploateringar.