Drupal, içerik yönetim sisteminin desteklenen tüm sürümlerini çalıştıran web sitelerinde uzaktan kod yürütülmesine olanak tanıyabilecek iki kritik güvenlik açığını yamaladı. Açıklar, Drupal çekirdeğindeki Field UI modülünü ve katkıda bulunan Entity List modülünü etkiliyor.
Proje, saldırganların açıkların duyurulmasından sonraki saatler veya günler içinde istismar geliştirebileceğini belirterek yöneticilere güncellemeleri gecikmeden uygulama uyarısı yaptı. CVE-2026-108097 için yayımlanan güvenlik duyurusu, açığın yalnızca Drupal çekirdeği kullanılarak istismar edilemeyeceğini; ancak katkı modüllerinin veya özel kodların istismar yolları açabileceğini söylüyor. Bu yollardan en az biri kimlik doğrulaması gerektirmiyor. CVE-2026-108099'un istismarı da katkı modülleriyle veya özel kodla etkileşim gerektiriyor; bilinen yollardan en az biri kimlik doğrulaması istemiyor.
Yöneticiler, sürüm dalına bağlı olarak Drupal çekirdeğini 10.6.19, 11.3.19 veya 11.4.10 sürümüne, Entity List'i ise 3.0.10 sürümüne güncellemeli. Drupal 10.6.x öncesindeki sürümler ile Drupal 11.3.x öncesindeki sürümler artık desteklenmiyor. Drupal 12'nin beta2 öncesi ön sürümleri de etkileniyor ancak üretimde kullanılmak üzere tasarlanmadı; proje, kararlı 12.0 sürümünün düzeltmeleri içereceğini belirtiyor.
Yükseltme yapılamayan sistemlerde Drupal, etkili bir önlem olarak çekirdekteki Field UI modülünün (field_ui) kaldırılmasını söylüyor. Drupal Steward bilinen bazı saldırı yollarına karşı koruma sağlıyor ancak olası tüm istismarları kapsamıyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.