Разработчики Drupal устранили две критические уязвимости, которые могли привести к удаленному выполнению кода на стороне сервера. Баги затрагивают модуль Field UI в ядре CMS и сторонний модуль Entity List, и как минимум один из известных способов эксплуатации этих уязвимостей не требует аутентификации. Разработчики предупреждают, что эксплоиты могут появиться уже в ближайшее время.
Первая уязвимость (CVE-2026-108097) затрагивает модуль Field UI, который входит в состав ядра CMS и отвечает за административные страницы, где настраиваются поля и их отображение. Проблема получила критическую оценку — 19 из 25 баллов по собственной шкале Drupal.
Как объясняют разработчики, этот баг нельзя эксплуатировать исключительно средствами ядра CMS, однако сторонние модули открывают сразу несколько способов для атаки, включая как минимум один, не требующий авторизации. Кроме того, уязвимые функции могут оказаться доступны через кастомные модули.
Проблема связана с обработкой PHP-колбэков при формировании административных таблиц Field UI. Так, до выхода исправления, Field UI через call_user_func_array выполнял PHP-колбэк, указанный для строки таблицы в свойстве #region_callback, однако не проверял, какую именно функцию ему передали. В итоге это позволяло обойти существующую защиту Drupal от запуска недоверенных колбэков. С выходом патча разработчики полностью отказались от этого механизма.
Вторая критическая уязвимость (CVE-2026-108099) была обнаружена в стороннем модуле Entity List. Этот баг также приводит к удаленному выполнению кода и при определенных условиях может эксплуатироваться без аутентификации (атакующему тоже требуется взаимодействие с другими модулями или кастомным кодом). Для устранения этой проблемы была выпущена версия Entity List 3.0.10.
Разработчики Drupal заранее предупредили администраторов о грядущих патчах. Еще 12 октября 2026 года команда безопасности проекта сообщала, что эксплоиты для неких критических уязвимостей могут появиться в течение нескольких часов или дней после скорого раскрытия подробностей о багах.
Подчеркивается, что для устранения уязвимости CVE-2026-108097 необходимо обновить ядро CMS до версий Drupal 11.4.10, 11.3.19 или 10.6.19, в зависимости от используемой ветки. Старые версии Drupal 11.2.x, 10.5.x и ниже больше не поддерживаются и патчей для них ждать не следует.
Если установить обновление пока по каким-то причинам невозможно, специалисты рекомендуют временно удалить модуль field_ui. Это защитит от возможной эксплуатации бага, но лишит администраторов интерфейса управления полями.
Также отмечается, что сервис Drupal Steward уже блокирует некоторые известные векторы атак, однако не обеспечивает полной защиты.
