Drupal meldt twee kritieke remote code execution-lekken in ondersteunde versies, met updates beschikbaar om exploits te voorkomen.
De ontwikkelaars van het contentmanagementsysteem Drupal hebben gewaarschuwd voor twee kritieke kwetsbaarheden die remote code execution (RCE) mogelijk maken. Hierdoor kunnen aanvallers kwetsbare websites overnemen. De problemen zijn aanwezig in alle ondersteunde versies van Drupal.
Er zijn inmiddels updates beschikbaar gesteld om deze beveiligingslekken te dichten. Drupal adviseert webmasters en beheerders om deze patches zo snel mogelijk te installeren, omdat exploits binnen enkele uren of dagen kunnen opduiken. De eerste kwetsbaarheid, CVE-2026-108097, bevindt zich in de Field UI-module van Drupal core. Hoewel deze kwetsbaarheid niet direct binnen Drupal core te misbruiken is, waarschuwen de ontwikkelaars dat er meerdere exploitmogelijkheden bestaan in combinatie met andere modules. Bovendien kan deze kwetsbaarheid door ongeauthenticeerde aanvallers worden misbruikt.
De tweede kwetsbaarheid, CVE-2026-108099, betreft de Entity List-module. Ook hier geldt dat het probleem niet direct binnen Drupal core te exploiteren is, maar wel in combinatie met andere modules. Beheerders worden dringend aangeraden om te updaten naar de nieuwste versies van Drupal 10 of 11. Tegelijkertijd wordt benadrukt dat Drupal 8 en 9 inmiddels end-of-life zijn en geen beveiligingsupdates meer ontvangen.
