Drupal випустив оновлення для усунення двох критичних RCE-уразливостей

17.10.2026, 21:34 processer.media

Drupal випустив оновлення безпеки для двох критичних уразливостей, які можуть дозволити віддалене виконання довільного коду на серверах із сайтами на всіх підтримуваних версіях системи керування контентом. Як повідомляє BleepingComputer, команда безпеки проєкту попередила адміністраторів, що експлойти можуть з’явитися впродовж кількох годин або днів після розкриття деталей проблем.

Перша проблема має ідентифікатор CVE-2026-108097 і стосується модуля Field UI у ядрі Drupal. Вона може дати змогу виконати довільний код на вразливому сервері. У Drupal зазначили, що ця уразливість не експлуатується лише за допомогою ядра системи, однак додаткові модулі можуть створювати кілька шляхів атаки. Принаймні один із них не потребує автентифікації. Вразливу функціональність також може відкривати користувацький код.

Друга уразливість, CVE-2026-108099, виявлена в додатковому модулі Entity List, призначеному для створення списків сутностей без Views. Для її успішної експлуатації також потрібна взаємодія з додатковими модулями або користувацьким кодом. Відомий щонайменше один сценарій атаки без автентифікації.

Адміністраторам радять оновити Drupal Core до версій 10.6.19, 11.3.19 або 11.4.10 залежно від гілки релізу. Модуль Entity List необхідно оновити до версії 3.0.10. У проєкті наголосили, що всі версії Drupal до 10.6.x, а також версії Drupal 11 до 11.3.x більше не підтримуються.

Проблеми також зачіпають попередні випуски Drupal 12 до beta2, які не призначені для використання у виробничому середовищі. У стабільному релізі Drupal 12.0 виправлення вже будуть присутні. Якщо встановити безпечну версію неможливо, розробники рекомендують видалити модуль Field UI як спосіб зменшення ризику.

Читати повністю…