Команда Drupal выпустила исправления для двух критических уязвимостей удаленного выполнения кода. Первая затрагивает модуль Field UI в ядре CMS, вторая — сторонний модуль Entity List. По меньшей мере один из способов эксплуатации работает без авторизации, и разработчики ожидают появления общедоступных эксплоитов в течение дней.
Уязвимость CVE-2026-108097 в Field UI получила оценку 19 из 25 баллов. Модуль отвечает за администраторские страницы управления полями и их отображением. Сама по себе в ядре CMS эта уязвимость не эксплуатируется, однако сторонние модули открывают несколько способов атаки.
Проблема в обработке PHP-колбэков при формировании административных таблиц. Field UI вызывал функцию call_user_func_array с колбэком из свойства #region_callback таблицы, не проверяя, какая именно функция передавалась. Это позволяло обойти защиту Drupal от недоверенных колбэков. После патча механизм полностью удален.
Вторая уязвимость CVE-2026-108099 в модуле Entity List также приводит к удаленному выполнению кода. При определенных условиях эксплуатируется без аутентификации. Выпущена версия Entity List 3.0.10.
Для исправления CVE-2026-108097 нужно обновить Drupal до версий 11.4.10, 11.3.19 или 10.6.19 в зависимости от ветки. Версии 11.2.x, 10.5.x и старше больше не получают обновлений.
Если обновление невозможно, временное решение — удалить модуль field_ui. Это защитит от эксплуатации, но отключит интерфейс управления полями.
Сервис Drupal Steward блокирует некоторые известные векторы атак, но не обеспечивает полной защиты.
