Drupal закрыл две критические RCE-уязвимости и предупредил о скором появлении эксплойтов

Команда безопасности Drupal выпустила исправления для двух критических уязвимостей, которые позволяют злоумышленникам удалённо выполнять произвольный код на сайтах под управлением любой поддерживаемой версии этой системы управления контентом.

Проблемы затрагивают модуль Field UI из ядра Drupal и сторонний модуль Entity List. О готовящихся патчах проект предупредил заранее, в начале недели, настоятельно призвав администраторов зарезервировать время на обновление: эксплойты, по словам команды, могут появиться «в течение часов или дней» после раскрытия деталей. Пользователям рекомендовали заранее, до 14 октября, перейти на свежий исправленный выпуск своей ветки, чтобы решить возможные сопутствующие проблемы до наступления «окна безопасности».

В чём суть уязвимостей

Drupal — бесплатная CMS с открытым исходным кодом, особенно популярная у государственных ведомств, университетов и некоммерческих организаций. По данным самого проекта, на ней работает более миллиона сайтов. Разработчики подчеркнули, что затронуты все поддерживаемые версии ядра.

Первая уязвимость, CVE-2026-108097, связана с модулем Field UI в ядре. Сама по себе она через ядро не эксплуатируется, однако сторонние модули открывают несколько путей атаки, включая как минимум один, не требующий аутентификации. Опасную функциональность может задействовать и пользовательский код.

Вторая, CVE-2026-108099, касается модуля Entity List, предназначенного для создания списков сущностей без использования Views. Для её эксплуатации также нужно взаимодействие со сторонними или пользовательскими модулями, и среди известных путей есть один, не требующий авторизации.

Что делать администраторам

Ядро Drupal следует обновить до версии 10.6.19, 11.3.19 или 11.4.10 — в зависимости от ветки, а модуль Entity List — до 3.0.10. Все версии Drupal старше 10.6.x, а также все выпуски Drupal 11 до 11.3.x признаны устаревшими и больше не поддерживаются.

Уязвимости затрагивают и предварительные сборки Drupal 12 до beta2, но они не предназначены для продакшена; итоговая стабильная версия 12.0 выйдет уже с исправлениями. Тем, кто не может обновиться, в качестве действенной меры рекомендуют отключить модуль ядра Field UI. Сервис Drupal Steward защищает от некоторых известных векторов атаки, но покрывает не все возможные сценарии.

Источник: Bleeping Computer