14 октября 2026 года Drupal выпустила исправления критической уязвимости CVE-2026-108097 в основном модуле Field UI. Обновления доступны для Drupal 11.4.10, 11.3.19 и 10.6.19. Риск оценён в 19 баллов из 25 и отнесён к критическому уровню.
Field UI предоставляет административные страницы для управления полями и их отображением. Сам по себе Drupal core уязвимость не раскрывает: опасный путь могут создать сторонние модули или пользовательский код. По крайней мере один известный вариант атаки не требует входа в систему. Уязвимость обнаружили Drew Webber из Drupal Security Team и Octavio Galland.
В предупреждении не названы сторонние модули, способные открыть такой путь. На момент публикации эксплойтов в открытом доступе не было; по состоянию на 15 октября они также не появились. В предупреждении и публичных сообщениях не описывались атаки с использованием этой уязвимости.
Исправления предназначены для веток Drupal 11.4.x, 11.3.x и 10.6.x: обновиться нужно соответственно до 11.4.10, 11.3.19 и 10.6.19. Для Drupal 12.0.0 beta выпущена версия 12.0.0-beta2, но использовать её на рабочих сайтах нельзя. Для Drupal 11.2.x и более ранних веток, Drupal 10.5.x и ниже, а также Drupal 8 и 9 исправления не указаны: эти версии сняты с поддержки. Веткам 11.3.x и 10.6.x предстоит потерять покрытие безопасности в декабре 2026 года.
Масштаб проблемы заметен по статистике . За неделю, начавшуюся 4 октября, 151 442 из 531 499 сайтов, сообщивших версию Drupal core, работали на затронутых ветках, для которых предупреждение не указывает исправления. Это 28,5% отчитавшихся сайтов.
Если немедленно обновиться нельзя, Drupal советует удалить модуль Field UI с машинным именем field_ui: это, по формулировке предупреждения, «обеспечит защиту на время обновления сайтов». После удаления станут недоступны административные страницы управления полями и их отображением. Field UI входит в профиль установки Standard, если его не удалили отдельно.
Drupal Steward, сервис межсетевого экрана для веб-приложений с правилами, подготовленными Security Team, блокирует некоторые известные варианты атаки, но не все возможные эксплойты. Поэтому даже его клиентам требуется установить обновление. Сервис предоставляют Acquia, Pantheon, Ironstar и Skpr.
Уязвимый код находился в Field UI как минимум с Drupal 8.9.0, выпущенной в 2020 году. Модуль строит административные таблицы из render arrays — PHP-массивов, которые Drupal преобразует в HTML. До исправления предварительная обработка таблицы вызывала PHP-функцию или другой callable, указанный в свойстве строки region_callback, через call_user_func_array и не проверяла его безопасность.
Ещё в Drupal 8.8, в 2019 году, рендерер перестал запускать недоверенные render callbacks: такое ограничение ввели после прежних предупреждений о слишком свободном выполнении произвольных callback-функций. Но в данном случае защита не срабатывала: рендерер доверял методам самого элемента таблицы, запускал предварительную обработку, а она уже выполняла callback строки. В Drupal 11.4.10 вызов удалили. Теперь код проверяет значение region каждой строки и, если оно не соответствует известной области, использует скрытую область таблицы либо первую доступную.
В самом Drupal core callback задают только формы отображения Field UI. Однако пользовательский код, который устанавливает region_callback для строки field_ui_table, после обновления больше не сможет выполнить эту функцию. Pantheon рекомендует проверить такой код и протестировать страницы управления полями и отображением.
Отдельное критическое предупреждение касается модуля Entity List: CVE-2026-108099 имеет те же условия, включая известный путь без авторизации. В примечании к выпуску Entity List 3.0.10 сказано, что исправление повторяет изменение Field UI. Обновление Drupal core не обновляет этот сторонний модуль; за неделю, начавшуюся 4 октября, о его использовании сообщили 90 сайтов. Те же выпуски Drupal исправляют две уязвимости межсайтового скриптинга среднего критического уровня, для эксплуатации которых требуется как минимум учётная запись: в Link — CVE-2026-108515, в Navigation — CVE-2026-108514.
Security Team предупредила о выпуске заранее, 12 октября, и посоветовала выделить время на обновление: «Эксплойты могут появиться через несколько часов или дней». В мае Drupal сообщала о попытках эксплуатации уязвимости SQL-инъекции в core, затрагивавшей только сайты с PostgreSQL; первые попытки зафиксировали в течение двух дней после публикации предупреждения, а CISA внесла уязвимость в каталог эксплуатируемых проблем. Drupal 7 на завершила жизненный цикл в январе 2025 года. Pantheon сообщает, что долгосрочная поддержка Drupal 7, которую он ведёт с Tag1 Consulting, выпустила Drupal 7.107 с бэкпортом исправления.
Изображение носит иллюстративный характер
Field UI предоставляет административные страницы для управления полями и их отображением. Сам по себе Drupal core уязвимость не раскрывает: опасный путь могут создать сторонние модули или пользовательский код. По крайней мере один известный вариант атаки не требует входа в систему. Уязвимость обнаружили Drew Webber из Drupal Security Team и Octavio Galland.
В предупреждении не названы сторонние модули, способные открыть такой путь. На момент публикации эксплойтов в открытом доступе не было; по состоянию на 15 октября они также не появились. В предупреждении и публичных сообщениях не описывались атаки с использованием этой уязвимости.
Исправления предназначены для веток Drupal 11.4.x, 11.3.x и 10.6.x: обновиться нужно соответственно до 11.4.10, 11.3.19 и 10.6.19. Для Drupal 12.0.0 beta выпущена версия 12.0.0-beta2, но использовать её на рабочих сайтах нельзя. Для Drupal 11.2.x и более ранних веток, Drupal 10.5.x и ниже, а также Drupal 8 и 9 исправления не указаны: эти версии сняты с поддержки. Веткам 11.3.x и 10.6.x предстоит потерять покрытие безопасности в декабре 2026 года.
Масштаб проблемы заметен по статистике . За неделю, начавшуюся 4 октября, 151 442 из 531 499 сайтов, сообщивших версию Drupal core, работали на затронутых ветках, для которых предупреждение не указывает исправления. Это 28,5% отчитавшихся сайтов.
Если немедленно обновиться нельзя, Drupal советует удалить модуль Field UI с машинным именем field_ui: это, по формулировке предупреждения, «обеспечит защиту на время обновления сайтов». После удаления станут недоступны административные страницы управления полями и их отображением. Field UI входит в профиль установки Standard, если его не удалили отдельно.
Drupal Steward, сервис межсетевого экрана для веб-приложений с правилами, подготовленными Security Team, блокирует некоторые известные варианты атаки, но не все возможные эксплойты. Поэтому даже его клиентам требуется установить обновление. Сервис предоставляют Acquia, Pantheon, Ironstar и Skpr.
Уязвимый код находился в Field UI как минимум с Drupal 8.9.0, выпущенной в 2020 году. Модуль строит административные таблицы из render arrays — PHP-массивов, которые Drupal преобразует в HTML. До исправления предварительная обработка таблицы вызывала PHP-функцию или другой callable, указанный в свойстве строки region_callback, через call_user_func_array и не проверяла его безопасность.
Ещё в Drupal 8.8, в 2019 году, рендерер перестал запускать недоверенные render callbacks: такое ограничение ввели после прежних предупреждений о слишком свободном выполнении произвольных callback-функций. Но в данном случае защита не срабатывала: рендерер доверял методам самого элемента таблицы, запускал предварительную обработку, а она уже выполняла callback строки. В Drupal 11.4.10 вызов удалили. Теперь код проверяет значение region каждой строки и, если оно не соответствует известной области, использует скрытую область таблицы либо первую доступную.
В самом Drupal core callback задают только формы отображения Field UI. Однако пользовательский код, который устанавливает region_callback для строки field_ui_table, после обновления больше не сможет выполнить эту функцию. Pantheon рекомендует проверить такой код и протестировать страницы управления полями и отображением.
Отдельное критическое предупреждение касается модуля Entity List: CVE-2026-108099 имеет те же условия, включая известный путь без авторизации. В примечании к выпуску Entity List 3.0.10 сказано, что исправление повторяет изменение Field UI. Обновление Drupal core не обновляет этот сторонний модуль; за неделю, начавшуюся 4 октября, о его использовании сообщили 90 сайтов. Те же выпуски Drupal исправляют две уязвимости межсайтового скриптинга среднего критического уровня, для эксплуатации которых требуется как минимум учётная запись: в Link — CVE-2026-108515, в Navigation — CVE-2026-108514.
Security Team предупредила о выпуске заранее, 12 октября, и посоветовала выделить время на обновление: «Эксплойты могут появиться через несколько часов или дней». В мае Drupal сообщала о попытках эксплуатации уязвимости SQL-инъекции в core, затрагивавшей только сайты с PostgreSQL; первые попытки зафиксировали в течение двух дней после публикации предупреждения, а CISA внесла уязвимость в каталог эксплуатируемых проблем. Drupal 7 на завершила жизненный цикл в январе 2025 года. Pantheon сообщает, что долгосрочная поддержка Drupal 7, которую он ведёт с Tag1 Consulting, выпустила Drupal 7.107 с бэкпортом исправления.
