Критические уязвимости Drupal позволяют удалённо выполнить произвольный код на сервере, а команда CMS предупреждает: рабочие эксплойты могут появиться уже в течение часов или дней. Для российских команд, которые поддерживают сайты на Drupal, это не повод поставить тикет в бэклог, а задача на ближайшее окно обновлений.
Drupal выпустил исправления для двух проблем: CVE-2026-108097 в модуле Field UI, входящем в ядро CMS, и CVE-2026-108099 в дополнительном модуле Entity List. Обе уязвимости относятся к классу remote code execution — при успешной атаке злоумышленник может запускать код на затронутом сервере. Как сообщает BleepingComputer, под удар попадают все поддерживаемые версии Drupal core.
Первая проблема находится в Field UI — компоненте, который помогает управлять полями сущностей через административный интерфейс. Само ядро Drupal, по данным проекта, не даёт готового пути эксплуатации: для атаки потребуется взаимодействие с дополнительным модулем или кастомным кодом. Но это слабое утешение для реальных инсталляций: сайты на Drupal редко ограничиваются чистым core, особенно в крупных организациях с собственными интеграциями и многолетней историей доработок.
Среди возможных сценариев для CVE-2026-108097 есть как минимум один, не требующий аутентификации. Иными словами, риск не сводится к компрометации учётной записи редактора или администратора. Вторая уязвимость, CVE-2026-108099, затрагивает Entity List — модуль для построения списков сущностей без использования Views. Для неё также известен путь атаки через связку с дополнительными модулями или пользовательским кодом, причём один из сценариев доступен без входа в систему.
Проект заранее предупредил администраторов о предстоящем окне безопасности и рекомендовал выделить время на обновление до публикации деталей. Такая формулировка обычно означает простую вещь: после выхода патчей исследователи и атакующие начнут сравнивать исправленный и старый код. Если разница показывает, где была ошибка, путь от анализа патча до массового сканирования интернета бывает неприятно коротким.
Безопасные версии уже названы: Drupal core следует обновить до 10.6.19, 11.3.19 или 11.4.10 — в зависимости от используемой ветки. Entity List нужно довести до версии 3.0.10. Версии Drupal до 10.6.x, а также Drupal 11 до 11.3.x больше не поддерживаются. Это важная деталь для владельцев старых порталов: штатного патча для устаревшей ветки не будет, и попытка «переждать» инцидент на старой версии превращается в осознанное принятие риска.
Если обновление прямо сейчас невозможно из-за зависимостей или затянувшегося регрессионного тестирования, Drupal предлагает временную меру: удалить модуль field_ui. Она снижает риск по CVE-2026-108097, но не заменяет обновление и не решает вопрос с Entity List. Заодно стоит проверить, установлен ли этот модуль, где он используется, какие кастомные расширения работают с полями и сущностями, а также нет ли публично доступных административных или интеграционных маршрутов, которые давно никто не пересматривал.
Для разработчиков список действий довольно приземлённый: инвентаризировать версии core и Entity List, обновить тестовые окружения, прогнать критичные сценарии редактирования контента и деплоить патчи без лишней паузы. Для ИТ-руководителей — убедиться, что Drupal-сайты не потерялись между командами маркетинга, подрядчиками и внутренними порталами. Именно такие незаметные инсталляции часто остаются на старых релизах дольше всех.
Критические уязвимости Drupal в этот раз особенно опасны не только из-за оценки RCE, но и из-за сочетания дополнительных модулей, кастомного кода и возможных неаутентифицированных сценариев. В ближайшие дни главным индикатором зрелости процессов станет не красивый отчёт о безопасности, а скорость, с которой владельцы сайтов найдут свои установки и закроют обновления.