Drupal исправила 2 критические уязвимости с удалённым выполнением кода

Проект выпустил исправления 14 октября после предупреждения о том, что способы эксплуатации уязвимостей могут появиться вскоре после раскрытия подробностей. Обе ошибки позволяют удалённо выполнить код на сервере при определённых условиях.

Drupal — открытая система управления сайтами. По данным проекта, на ней работает более миллиона сайтов. Первая уязвимость, CVE-2026-108097, затрагивает встроенный модуль Field UI, через который администраторы настраивают поля и их отображение. Команда Drupal оценила её критичность в 19 баллов из 25.

Через одно только ядро Drupal воспользоваться ошибкой Field UI нельзя. Однако дополнительные модули создают несколько путей к уязвимому коду, причём как минимум один из известных вариантов не требует входа в систему. Доступ к нему может открыть и код, написанный для конкретного сайта. Какие именно дополнительные модули создают такие условия, в сообщении об уязвимости не указано.

Вторая критическая ошибка, CVE-2026-108099, обнаружена в дополнительном модуле Entity List для создания списков объектов без Views. Для её эксплуатации также нужно взаимодействие с другими модулями или кодом сайта; известен как минимум один путь без авторизации. Исправление ядра не обновляет Entity List, поэтому его пользователям требуется отдельно установить версию 3.0.10.

Для поддерживаемых веток ядра выпущены Drupal 10.6.19, 11.3.19 и 11.4.10. Тем, кто не может обновиться сразу, команда проекта рекомендует удалить Field UI: это защищает от эксплуатации ошибки в нём на время подготовки обновления. После удаления станут недоступны административные страницы для управления полями и их отображением. Сервис защиты Drupal Steward блокирует часть известных путей атаки, но не все возможные варианты.

Уязвимости Drupal: исправление ошибки в Field UI

Уязвимость была связана с обработкой таблиц в административном интерфейсе Field UI. До исправления один из этапов их подготовки мог запустить PHP-функцию, указанную в свойстве строки таблицы, не проверяя, какая именно функция там записана. В Drupal 11.4.10 этот вызов убрали: модуль определяет область строки по её значению и выбирает предусмотренный запасной вариант, если область не распознана.

Изменение может затронуть код сайта, который сам задавал прежний способ обработки строк Field UI: после обновления такой вызов больше не сработает. Администраторам подобных сайтов рекомендуют проверить страницы управления полями и их отображением. Исправление Entity List, согласно примечанию к выпуску 3.0.10, повторяет изменение в Field UI.

Выпуски ядра от 14 октября также устраняют две уязвимости межсайтового скриптинга умеренной критичности: CVE-2026-108515 в модуле Link и CVE-2026-108514 в Navigation. Для эксплуатации каждой из них нужен как минимум пользователь, вошедший в систему. Исправления для веток Drupal 11 до 11.3.x и Drupal 10 до 10.6.x не выпускаются, поскольку срок их поддержки истёк. Предварительные версии Drupal 12 до beta2 также затронуты; стабильный выпуск 12.0 получит исправления.

Команда безопасности Drupal предупредила о предстоящем выпуске исправлений 12 октября и попросила администраторов выделить время на обновление. На момент публикации сообщения об уязвимости общедоступного кода для эксплуатации Field UI не было; по состоянию на 15 октября сообщений об атаках с его применением также не появилось. В мае проект зафиксировал попытки эксплуатации другой ошибки ядра в течение двух дней после публикации сведений о ней.