Drupal heeft een kritieke kwetsbaarheid in de Field UI-module gepatcht die ongeauthenticeerde remote code execution mogelijk maakt via bepaalde contributed modules.
Drupal heeft op 14 oktober beveiligingsupdates uitgebracht voor een kritieke kwetsbaarheid in de Field UI-module van de core. Deze kwetsbaarheid, geregistreerd als CVE-2026-108097, maakt het mogelijk voor een aanvaller om code uit te voeren op de server van een Drupal-site. Hoewel de core zelf geen directe toegang tot de kwetsbaarheid biedt, bestaan er meerdere exploitatiepaden via contributed modules, waarvan er minstens één geen login vereist.
De kwetsbaarheid bevindt zich in de Field UI-module, die verantwoordelijk is voor de beheerpagina's waar sitebouwers velden en hun weergave beheren. Drupal beoordeelt de ernst van deze kwetsbaarheid als kritisch met een score van 19 op 25. De advisory noemt niet welke contributed modules de kwetsbaarheid blootstellen, en ook aangepaste code kan risico's met zich meebrengen. De patch is beschikbaar voor Drupal 11.4.x (update naar 11.4.10), 11.3.x (update naar 11.3.19) en 10.6.x (update naar 10.6.19). Voor Drupal 12.0.0 beta is er een update naar 12.0.0-beta2, maar deze is niet geschikt voor productieomgevingen. Oudere versies zoals 11.2.x en lager, 10.5.x en lager, en Drupal 8 en 9 worden niet meer ondersteund en ontvangen geen patches.
Uit statistieken blijkt dat in de week van 4 oktober ruim 28% van de sites die hun Drupal core-versie rapporteerden aan drupal.org nog op een kwetsbare en niet-gepatchte branch draaiden. Voor sites die nog niet kunnen updaten, adviseert Drupal om de Field UI-module (field_ui) tijdelijk te verwijderen, wat bescherming biedt zolang de update niet is doorgevoerd. Dit betekent wel dat de beheerpagina's voor velden en weergave niet beschikbaar zijn zolang de module is uitgeschakeld. De Field UI-module wordt standaard geïnstalleerd bij de Standard install profile, dus veel sites hebben deze module actief tenzij deze handmatig is verwijderd.
De web application firewall service Drupal Steward, met regels geschreven door het Drupal Security Team, blokkeert al enkele bekende aanvalspaden voor deze kwetsbaarheid. Deze dienst wordt onder andere gebruikt door Acquia, Pantheon, Ironstar en Skpr. Hoewel dit een extra beschermingslaag biedt, is het geen vervanging voor het toepassen van de updates. De advisory meldt dat er op het moment van publicatie geen publieke exploitcode beschikbaar was en dat er geen aanvallen met deze kwetsbaarheid bekend zijn. Het Security Team had de release vooraf aangekondigd op 12 oktober en gewaarschuwd dat exploits binnen enkele uren of dagen na publicatie konden verschijnen.
De patch wijzigt de manier waarop de Field UI-module de admin-tabellen opbouwt. Voorheen werd in een pre-render stap een PHP-callable uitgevoerd die in elke tabelrij stond, zonder controle op de aard van deze callable. Sinds Drupal 8.8 in 2019 weigert de renderer onbetrouwbare callbacks uit te voeren, maar in dit geval werd de controle omzeild doordat de callback werd aangeroepen vanuit een vertrouwde context. De update in 11.4.10 zorgt ervoor dat deze callback niet langer wordt uitgevoerd. In plaats daarvan wordt de regio van elke rij uit een eigen waarde gelezen, of wordt een standaard regio gebruikt als de waarde onbekend is. Dit voorkomt dat kwaadaardige code via deze callback kan worden uitgevoerd. Aangepaste code die deze callback gebruikte zal na de update niet meer functioneren.
