Drupal публикува актуализации за две критични уязвимости, които могат да позволят отдалечено изпълнение на код в уебсайтове с уязвими версии на системата за управление на съдържанието. Поне един известен път за експлоатация на всяка от тях не изисква удостоверяване, което налага бърза проверка и актуализиране на засегнатите инсталации.

Уязвимостите засягат ядрото и допълнителен модул

Екипът по сигурността на Drupal публикува корекции за две критични уязвимости, засягащи ядрото на платформата и допълнителния модул Entity List. Проблемите могат да дадат възможност на нападателите да изпълняват произволен код на сървърите, на които работят уязвими уебсайтове.

Drupal е безплатна система с отворен код за управление на съдържанието, използвана от държавни институции, университети, неправителствени организации и други структури. Според проекта над един милион уебсайта използват платформата.

Двете уязвимости са:

• CVE-2026-108097 – уязвимост за отдалечено изпълнение на код в модула Field UI, част от ядрото на Drupal.
• CVE-2026-108099 – уязвимост в допълнителния модул Entity List, предназначен за създаване на списъци от обекти в Drupal без използване на Views.

Според публикуваните предупреждения всички поддържани към момента версии на Drupal core са засегнати.

Съществуват пътища за атака без удостоверяване

Уязвимостта CVE-2026-108097 не може да бъде експлоатирана само чрез стандартната функционалност на ядрото на Drupal. Допълнителни модули обаче могат да създадат условия за атака, включително поне един известен сценарий, който не изисква нападателят да се удостоверява. Подобен риск може да възникне и при използване на собствен код, който предоставя достъп до уязвимата функционалност.

При CVE-2026-108099 също са необходими определени взаимодействия с допълнителни модули или персонализиран код. И тук е известен поне един път за експлоатация без удостоверяване.

Тези уточнения са важни при оценката на риска: наличието на уязвимост не означава автоматично, че всеки сайт е изложен на еднакъв сценарий за атака. Реалната експозиция зависи и от инсталираните модули, използвания собствен код и конфигурацията на сайта. Въпреки това възможността за атака без удостоверяване прави бързата проверка особено важна за публично достъпните инсталации.

Кои версии трябва да бъдат актуализирани?

Drupal препоръчва администраторите да инсталират следните коригирани версии според използвания клон на платформата:

• Drupal 10.6.19;
• Drupal 11.3.19;
• Drupal 11.4.10.

Допълнителният модул Entity List трябва да бъде актуализиран до версия 3.0.10.

Проектът предупреди предварително администраторите да планират актуализациите, тъй като работещи експлойти могат да бъдат разработени в рамките на часове или дни след публичното оповестяване на уязвимостите.

Версиите на Drupal преди 10.6.x, както и версиите на Drupal 11 преди 11.3.x, вече не се поддържат. Използването им създава допълнителен риск, тъй като те не получават стандартните актуализации за сигурност.

Засегнати са и предварителни версии на Drupal 12 преди beta2, но те не са предназначени за производствена употреба. Според проекта стабилното издание на Drupal 12.0 ще включва корекциите.

Какво да направят администраторите?

Организациите, които използват Drupal за публични сайтове, портали или други бизнес и институционални услуги, трябва да проверят версията на ядрото, инсталираните допълнителни модули и наличието на персонализиран код, който може да предоставя достъп до засегнатата функционалност.

Приоритетните действия са:

• Актуализиране на Drupal core до подходящата коригирана версия.
• Актуализиране на Entity List до версия 3.0.10, ако модулът е инсталиран.
• Проверка на допълнителните модули и собствения код за потенциални пътища за експлоатация.
• Проверка на логовете и подозрителната активност, особено при публично достъпни системи, които не са били актуализирани своевременно.

За администраторите, които не могат незабавно да преминат към коригирана версия, Drupal посочва като временна мярка деинсталирането на основния модул Field UI (field_ui). Това трябва да се разглежда като ограничаване на риска, а не като заместител на пълната актуализация.

Услугата Drupal Steward осигурява защита срещу някои известни пътища за атака, но не покрива всички възможни варианти за експлоатация. Следователно наличието ѝ не отменя необходимостта от инсталиране на корекциите.

Двете уязвимости са особено важни за организациите, които поддържат публични Drupal сайтове с допълнителни модули или собствен код. При възможност за отдалечено изпълнение на код забавянето на актуализацията може да изложи на риск не само уебсайта, но и сървърната среда, в която той работи.