Разработчики Drupal 14 октября выпустили исправления для CVE-2026-108097 — уязвимости удаленного выполнения кода в модуле Field UI, который входит в ядро CMS. Ошибка может позволить атакующему запускать код на сервере через определенные дополнительные модули или пользовательские расширения. Через одно только ядро напрямую эксплуатировать ее нельзя, однако команда безопасности подтвердила как минимум один сценарий, не требующий авторизации. Для владельцев сайтов это означает, что ограниченного доступа к административной панели недостаточно.
Drupal оценил проблему в 19 баллов из 25 и обозначил ее как критическую. Это внутренняя шкала проекта, а не оценка CVSS, поэтому значение нельзя напрямую сравнивать с баллами других бюллетеней. Уязвимость получила отдельный идентификатор CVE, а список всех расширений, через которые можно добраться до опасного механизма, в официальном сообщении не опубликован. Число затронутых сайтов и подтвержденных взломов разработчики также не назвали.
Почему административный модуль создает риск для сайта
Field UI нужен для управления полями содержимого: через него администраторы настраивают структуру сущностей и способы показа данных. На первый взгляд проблема в административном компоненте должна касаться только сотрудников с особыми правами. Однако уязвимый механизм способен становиться доступным через другие расширения, а пользовательский код проекта тоже может открыть путь к нему. Поэтому реальная поверхность атаки определяется всей конфигурацией сайта, а не только разрешениями на страницы управления полями.
В разборе The Hacker News подчеркивается существенное различие: наличие проблемы в ядре еще не означает возможность одинаково взломать любую установку Drupal. Эксплуатация зависит от дополнительных компонентов, но среди известных разработчикам вариантов есть путь без входа в систему. Публичных деталей, позволяющих надежно исключить риск по одному названию или категории модулей, пока недостаточно. Именно поэтому разработчики рекомендуют обновить ядро, а не рассчитывать исключительно на закрытый административный интерфейс.
Какие версии Drupal требуют исправления
Для поддерживаемых веток вышли Drupal 10.6.19, 11.3.19 и 11.4.10. Более ранние выпуски внутри соответствующих веток содержат уязвимый код; для предварительной линейки Drupal 12 затронуты версии с 12.0.0-alpha1 до сборок перед 12.0.0-beta2. Последняя включает исправление, но предварительные версии не стоит рассматривать как готовый вариант для промышленного сайта. При планировании обновления важно сверять именно свою ветку с официальным бюллетенем.
Ветки Drupal 10.5 и старше, Drupal 11.2 и старше, а также Drupal 8 и 9 уже сняты с сопровождения безопасности. Для них отдельные патчи не выпущены, поэтому потребуется переход на поддерживаемый релиз. Платформа Pantheon отдельно напомнила клиентам об этом различии. Попытка найти исправление внутри неподдерживаемой ветки только задержит устранение риска.
Отдельный патч нужен для Entity List
В тот же день разработчики опубликовали бюллетень для Entity List — дополнительного модуля, в котором обнаружили самостоятельную уязвимость удаленного выполнения кода CVE-2026-108099. Проблема затрагивает версии расширения до 3.0.10, а исправление вошло в Entity List 3.0.10. Для эксплуатации также могут иметь значение другие установленные модули и пользовательский код. Совпадающие дата раскрытия и тип ошибки не делают две CVE одним и тем же инцидентом.
Обновление ядра само по себе не обновляет сторонний Entity List. Поэтому администратору необходимо проверять отдельно и версию Drupal, и версии установленных расширений. Особенно это важно на крупных сайтах, где набор модулей менялся годами и не всегда отражен в актуальной документации. Без такой проверки невозможно уверенно оценить, какие именно цепочки взаимодействия могут существовать в рабочем проекте.
Что известно о защите и возможных атаках
Если быстро обновиться невозможно, команда Drupal предлагает временно удалить модуль field_ui. Это отключит управление полями через штатный интерфейс и закроет описанную точку риска до установки патча. Дополнительная защита Drupal Steward уже перекрывает часть известных путей атаки, однако разработчики прямо предупреждают, что она охватывает не все сценарии. Поэтому наличие такой защиты не отменяет обновление самой CMS.
На 20 октября официальный бюллетень не содержал числа реально взломанных сайтов и подтверждения массовой кампании. Известные исследователям пути эксплуатации не равнозначны уже состоявшимся атакам, а высокий рейтинг риска сам по себе не показывает масштаб инцидента. Владельцам сайтов полезно опираться на установленные версии, доступные патчи и технические уведомления разработчиков. Дополнительные материалы по идентификаторам уязвимостей собраны в каталоге CVE AnonHaven.
Вопросы и ответы (FAQ)
Что такое CVE-2026-108097?
Это критическая уязвимость удаленного выполнения кода в Field UI ядра Drupal, которая становится доступной в определенных сочетаниях с расширениями или пользовательским кодом.
Можно ли атаковать сайт без авторизации?
Да, разработчики подтвердили как минимум один такой сценарий через дополнительные компоненты. При этом через одно только ядро прямого пути эксплуатации нет.
Какие версии исправляют проблему?
Для поддерживаемых веток выпущены Drupal 10.6.19, 11.3.19 и 11.4.10. В предварительной линейке Drupal 12 исправление появилось в 12.0.0-beta2.
Можно ли временно отключить Field UI?
Drupal рекомендует удалить модуль field_ui как временную меру до обновления. Управлять полями через соответствующие страницы после этого не получится.
Нужно ли отдельно обновлять Entity List?
Если расширение установлено, его нужно обновить до 3.0.10 или новее: отдельная CVE-2026-108099 не устраняется одним только патчем ядра.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
