Két kritikus kódfuttatási hibát javított a Drupal
Órákon vagy napokon belül elkészülhetnek a támadókódok a Drupal most javított hibáihoz a projekt biztonsági csapatának figyelmeztetése szerint. A sebezhetőségek a Drupal core Field UI modulját és az Entity List kiegészítőt érintik; bizonyos esetekben bejelentkezés nélkül is lehetővé tehetik idegen kód futtatását a szerveren.
Minden támogatott Drupal core-verzió érintett
A Drupal ingyenes, nyílt forráskódú tartalomkezelő rendszer, amellyel weboldalakat lehet létrehozni és kezelni. A projekt weboldala szerint több mint egymillió honlap használja, és különösen népszerű kormányzati szervezeteknél, egyetemeken és nonprofit szervezeteknél.
A fejlesztők közlése szerint a Drupal core minden jelenleg támogatott verzióját érinti a probléma. A javításokat már kiadták, az üzemeltetőket mielőbbi telepítésre kérik. A biztonsági csapat előzetesen is figyelmeztetett: a részletek nyilvánosságra kerülése után rövid időn belül elkészülhetnek a kihasználásra alkalmas kódok.
Kiegészítők és egyedi kód nyithatnak utat a támadásnak
A CVE-2026-108097 a Drupal core részét képező Field UI modul hibája. Sikeres kihasználásával a támadó tetszőleges kódot futtathat az érintett szerveren. Fontos feltétel azonban, hogy önmagában a Drupal core nem elegendő ehhez: kiegészítő modulok teremthetnek hozzá többféle lehetőséget. Ezek között legalább egy olyan út is ismert, amelyhez nem kell bejelentkezni. Egyedi fejlesztésű kód szintén hozzáférhetővé teheti a sérülékeny működést.
A CVE-2026-108099 az Entity List kiegészítőt érinti, amely a Views használata nélkül teszi lehetővé entitáslisták létrehozását. Ennél is más modulokkal vagy egyedi kóddal való együttműködés szükséges a távoli kódfuttatáshoz. Itt is ismert legalább egy hitelesítést nem igénylő kihasználási út.
Ezek a kiadások tartalmazzák a javításokat
A használt kiadási ágnak megfelelően a Drupal core 10.6.19, 11.3.19 vagy 11.4.10 verziójára kell frissíteni. Az Entity List javított kiadása a 3.0.10. A core és a kiegészítő javítását egyaránt javasolják az érintett telepítéseknél.
A fejlesztők arra is felhívták a figyelmet, hogy a 10.6.x előtti Drupal-kiadások, valamint a Drupal 11 esetében a 11.3.x előtti változatok támogatása már véget ért.
A hibák a Drupal 12 beta2 előtti előzetes kiadásait is érintik. Ezeket nem éles környezetre szánják; a végleges, stabil 12.0 verzió mindkét javítást tartalmazni fogja.
Ha nem tudsz frissíteni, a Field UI eltávolítása az átmeneti megoldás
Aki nem tud azonnal biztonságos verzióra váltani, annak a Drupal core Field UI moduljának eltávolítását javasolják. A modul technikai neve field_ui. A forrás tehát eltávolítást ír elő átmeneti védekezésként, nem pusztán letiltást.
A Drupal Steward egyes ismert támadási módok ellen védelmet ad, de nem fedi le az összes lehetséges kihasználási utat.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum