Wprowadzenie do problemu / definicja
Drupal opublikował poprawki usuwające dwie krytyczne podatności typu Remote Code Execution (RCE), które mogą umożliwić zdalne wykonanie kodu na serwerach obsługujących podatne instancje CMS. Problem obejmuje zarówno element rdzenia platformy, jak i popularny moduł dodatkowy, a zespół bezpieczeństwa projektu zaznaczył, że po ujawnieniu szczegółów technicznych exploity mogą pojawić się bardzo szybko.
Dla administratorów i zespołów bezpieczeństwa oznacza to konieczność natychmiastowej oceny ekspozycji środowisk produkcyjnych, testowych i deweloperskich. W przypadku platform takich jak Drupal realne ryzyko często zależy nie tylko od samej wersji oprogramowania, ale również od konfiguracji, aktywnych modułów oraz integracji z kodem własnym.
W skrócie
W połowie października 2026 roku załatano dwie krytyczne luki: CVE-2026-108097 w module Field UI należącym do Drupal core oraz CVE-2026-108099 w module Entity List. Choć podatności nie są bezpośrednio wykorzystywalne w całkowicie podstawowej instalacji, mogą stać się skutecznym wektorem ataku w połączeniu z innymi modułami społecznościowymi lub niestandardowym kodem.
- Dotknięte zostały Drupal core i moduł contrib Entity List.
- Obie luki mogą prowadzić do zdalnego wykonania kodu.
- Istnieje co najmniej jedna opisana ścieżka nadużycia niewymagająca uwierzytelnienia.
- Zalecane wersje naprawcze to Drupal 10.6.19, 11.3.19, 11.4.10 oraz Entity List 3.0.10.
Kontekst / historia
Drupal pozostaje jedną z najważniejszych otwartoźródłowych platform CMS, szeroko wykorzystywaną przez sektor publiczny, organizacje edukacyjne, podmioty non-profit oraz serwisy wymagające rozbudowanych modeli treści i szczegółowej kontroli uprawnień. Z tego powodu każda krytyczna luka w jego ekosystemie ma znaczenie nie tylko techniczne, ale również operacyjne i biznesowe.
Przed publikacją poprawek zespół bezpieczeństwa wydał wcześniejsze ostrzeżenie, sugerując administratorom przygotowanie okna serwisowego na szybkie wdrożenie aktualizacji. Taki komunikat zwykle oznacza, że producent spodziewa się krótkiego czasu między publikacją łatek a pojawieniem się analiz różnic w kodzie, proof-of-conceptów i pierwszych prób masowego skanowania internetu.
Analiza techniczna
Pierwsza podatność, CVE-2026-108097, została sklasyfikowana jako krytyczna luka RCE w module Field UI, który wchodzi w skład Drupal core. Z opisu wynika, że sam standardowy rdzeń nie tworzy automatycznie prostego scenariusza wykorzystania, ale dodatkowe moduły lub własne rozszerzenia mogą odsłonić ścieżki prowadzące do wykonania dowolnego kodu. Szczególnie istotne jest to, że wskazano przynajmniej jeden wariant ataku niewymagający logowania.
Druga luka, CVE-2026-108099, dotyczy modułu Entity List, używanego do budowania list encji bez korzystania z mechanizmu Views. Charakter ryzyka jest podobny: podatność staje się realna w określonych konfiguracjach, zwłaszcza tam, gdzie środowisko opiera się na wielu rozszerzeniach contrib, integracjach oraz kodzie custom.
Z perspektywy bezpieczeństwa aplikacyjnego jest to przykład podatności kontekstowych. W praktyce oznacza to, że sama identyfikacja numeru wersji nie daje pełnego obrazu ryzyka. Trzeba uwzględnić architekturę wdrożenia, model encji, zestaw aktywnych modułów, niestandardowe workflow, poziom uprawnień oraz sposób, w jaki własny kod korzysta z API Drupala.
Drupal wskazał również działanie ograniczające ryzyko przed pełnym patchowaniem. W przypadku luki w rdzeniu możliwe jest tymczasowe odinstalowanie modułu Field UI, jednak nie zastępuje to właściwej aktualizacji, szczególnie w środowiskach z rozbudowanymi zależnościami funkcjonalnymi.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem skutecznego wykorzystania obu błędów może być pełna kompromitacja aplikacji webowej, a w dalszej kolejności także hosta, na którym działa PHP i komponenty pomocnicze. W praktyce może to oznaczać instalację webshella, kradzież danych z bazy, przejęcie kont uprzywilejowanych, modyfikację treści serwisu oraz wykorzystanie zainfekowanego systemu do dalszych działań ofensywnych.
Szczególnie zagrożone są organizacje utrzymujące złożone instancje Drupal z licznymi modułami contrib, integracjami SSO, niestandardowymi procesami biznesowymi i własnym kodem. Właśnie w takich środowiskach najczęściej powstają nieoczywiste zależności, które mogą otworzyć drogę do exploitu.
Dodatkowe ryzyko wiąże się z typowym cyklem po publikacji biuletynów bezpieczeństwa. Po ujawnieniu zakresu zmian i numerów CVE napastnicy analizują poprawki, odtwarzają scenariusze wykorzystania i budują narzędzia do automatycznych prób ataku. To sprawia, że zwlekanie z aktualizacją znacząco zwiększa prawdopodobieństwo incydentu.
Rekomendacje
Priorytetem powinno być jak najszybsze przejście na bezpieczne wersje: Drupal 10.6.19, 11.3.19 lub 11.4.10, zależnie od utrzymywanej gałęzi, a także Entity List 3.0.10 tam, gdzie moduł jest używany. Przed wdrożeniem w produkcji warto potwierdzić zgodność własnych rozszerzeń, ale nie należy odkładać patchowania bez istotnej przyczyny operacyjnej.
- Wykonać pełną inwentaryzację instancji Drupal, modułów contrib i komponentów custom.
- Sprawdzić, czy moduł Field UI jest potrzebny w środowiskach produkcyjnych.
- Tymczasowo odinstalować Field UI, jeśli natychmiastowa aktualizacja nie jest możliwa.
- Przeanalizować logi HTTP, logi aplikacyjne i zdarzenia WAF pod kątem anomalii po 14 października 2026 roku.
- Monitorować tworzenie nowych kont administracyjnych, nietypowe żądania POST, zmiany plików i uruchomienia procesów potomnych z kontekstu serwera WWW.
- Przeprowadzić kontrolę integralności aplikacji pod kątem webshelli i nieautoryzowanych modyfikacji.
Warto także ograniczać powierzchnię ataku poprzez usuwanie nieużywanych modułów, segmentację środowisk, ograniczanie dostępu administracyjnego z internetu oraz wymuszanie MFA dla administratorów. Ponieważ obie luki są silnie zależne od kontekstu wdrożenia, samo zaktualizowanie rdzenia bez przeglądu konfiguracji i kodu własnego może nie dać pełnego bezpieczeństwa operacyjnego.
Podsumowanie
Najnowsze poprawki bezpieczeństwa dla Drupala usuwają dwie krytyczne podatności RCE, które w określonych konfiguracjach mogą doprowadzić do pełnej kompromitacji serwisu. Chociaż nie są one trywialne do wykorzystania w podstawowej instalacji, zależność od modułów dodatkowych i kodu custom znacząco podnosi ryzyko w środowiskach produkcyjnych.
Kluczowe działania to szybkie wdrożenie aktualizacji, ograniczenie ekspozycji modułu Field UI, aktualizacja Entity List oraz przegląd logów i integralności systemu. W praktyce o bezpieczeństwie zdecyduje tempo reakcji oraz jakość inwentaryzacji niestandardowych rozszerzeń.
Źródła
- Drupal patches critical RCE flaws, warns exploits may emerge soon — https://www.bleepingcomputer.com/news/security/drupal-patches-critical-rce-flaws-warns-exploits-may-emerge-soon/
- Drupal core – Critical – Remote code execution – SA-CORE-2026-014 — https://www.drupal.org/sa-core-2026-014
- Entity List – Critical – Remote code execution – SA-CONTRIB-2026-218 — https://www.drupal.org/sa-contrib-2026-218
- Drupal core project releases — https://www.drupal.org/project/drupal