Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удалённому запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта. Для одного из известных путей атаки учётная запись не требуется.
Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню. Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах.
Одного уязвимого ядра для атаки недостаточно. Опасность появляется, когда установленный дополнительный модуль или собственный код сайта открывает подходящую цепочку вызовов к проблемной функциональности. Разработчики знают несколько серьёзных сценариев, а как минимум один позволяет добраться до RCE анонимно, без предварительной аутентификации на сайте.
Исправления вошли в Drupal 11.4.10, 11.3.19 и 10.6.19, а для тестовой ветки Drupal 12 подготовлена версия 12.0.0-beta2. Уязвимы Drupal 8.9.0–10.6.18, 11.0.0–11.3.18, 11.4.0–11.4.9 и ранние сборки Drupal 12. Ветки 11.2.x и ниже, а также 10.5.x и ниже уже сняты с поддержки, поэтому владельцам таких сайтов придётся переходить на актуальную ветку.
Масштаб устаревших установок остаётся заметным. Статистика проекта показывает, что за неделю с 4 октября 151 442 из 531 499 отчитавшихся сайтов, около 28,5%, работали на ветках, которые подпадают под бюллетень, но уже не получают отдельный патч. Выборка охватывает только ресурсы, которые передают сведения о версии на Drupal.org, поэтому не описывает всю установленную базу CMS.
Администраторам, которые не могут обновиться сразу, Drupal советует временно удалить Field UI с машинным именем field_ui. Такой шаг блокирует известный путь через уязвимый компонент, но одновременно убирает из панели управления страницы настройки полей и их отображения. Drupal Steward уже фильтрует часть известных векторов, однако разработчики не считают такую защиту заменой патчу.
По состоянию на 15 октября публичный эксплойт для CVE-2026-108097 не опубликован, а подтверждённых атак не описано. Команда Drupal заранее предупредила о срочном релизе, поскольку рабочие эксплойты после раскрытия подобных ошибок могут появиться за часы или дни. Весной сопоставимая тревога уже возникала вокруг SQL-инъекции в Drupal, способной привести к RCE.
Релиз 11.4.10 закрывает не только RCE, но и две менее опасные XSS-уязвимости в модулях Link и Navigation. Для владельцев сайтов приоритет прост: перейти на поддерживаемую ветку, установить свежий security-релиз и проверить дополнительные или собственные модули, которые могут открывать доступ к Field UI. Временное удаление компонента подходит лишь как мера до обновления.
