Wprowadzenie do problemu / definicja
Projekt Drupal opublikował poprawki bezpieczeństwa dla kilku istotnych podatności, w tym dwóch krytycznych luk mogących prowadzić do zdalnego wykonania kodu. Problem obejmuje zarówno rdzeń platformy, jak i popularny moduł Entity List, a realne ryzyko rośnie w środowiskach korzystających z dodatkowych modułów contributed oraz niestandardowego kodu.
To ważne przypomnienie, że bezpieczeństwo systemów CMS nie zależy wyłącznie od samego rdzenia. W praktyce podatność może ujawniać pełny potencjał dopiero w połączeniu z rozszerzeniami, integracjami i specyficzną konfiguracją wdrożenia.
W skrócie
- Drupal usunął pięć podatności bezpieczeństwa, w tym dwa krytyczne błędy RCE.
- Luka CVE-2026-108097 dotyczy modułu Field UI w rdzeniu Drupal.
- Luka CVE-2026-108099 dotyczy modułu Entity List.
- Co najmniej jedna ścieżka ataku ma nie wymagać uwierzytelnienia.
- Zalecane wersje naprawcze to Drupal 11.4.10, 11.3.19 i 10.6.19 oraz Entity List 3.0.10.
- Dodatkowo opublikowano poprawki XSS dla modułów Link i Navigation oraz motywu administracyjnego Gin.
Kontekst / historia
12 października 2026 roku zespół bezpieczeństwa Drupal opublikował wcześniejsze ostrzeżenie, sygnalizując administratorom konieczność przygotowania się na pilne aktualizacje. Właściwe advisory opublikowano 14 października 2026 roku, co potwierdziło wysoką wagę problemu i możliwość szybkiego pojawienia się prób eksploatacji po ujawnieniu szczegółów.
Takie działania ze strony producenta nie są rutynowe. Publiczne ostrzeżenie przed publikacją poprawek zwykle oznacza, że podatność została oceniona jako szczególnie niebezpieczna, a czas między publikacją aktualizacji a pojawieniem się exploitów może być bardzo krótki.
Analiza techniczna
CVE-2026-108097 dotyczy krytycznej luki RCE w module Field UI, który jest częścią rdzenia Drupal. Z dostępnych informacji wynika, że sama podstawowa instalacja nie musi umożliwiać prostego wykorzystania błędu, jednak połączenie z określonymi modułami contributed lub własnym kodem może otworzyć realną ścieżkę do wykonania złośliwego kodu po stronie serwera.
Podobny charakter ma CVE-2026-108099 w module Entity List. Również tutaj kluczowe znaczenie ma warstwa integracyjna: zestaw używanych rozszerzeń, sposób obsługi encji, formularzy oraz logiki biznesowej. Producent ostrzegł, że co najmniej jedna znana ścieżka ataku nie wymaga uwierzytelnienia, co znacząco zwiększa poziom zagrożenia.
Z technicznego punktu widzenia to przykład podatności, której nie da się rzetelnie ocenić wyłącznie przez analizę „gołego” rdzenia. W ekosystemie Drupal powierzchnia ataku powstaje często na styku modułów, routingu, mechanizmów konfiguracji pól, uprawnień oraz niestandardowych rozszerzeń tworzonych dla konkretnych potrzeb organizacji.
Oprócz luk prowadzących do RCE załatano także błędy cross-site scripting w module Link, module Navigation oraz w motywie administracyjnym Gin. Choć XSS zwykle oceniany jest niżej niż RCE, w panelach administracyjnych może stanowić skuteczny punkt wejścia do przejęcia sesji, eskalacji uprawnień lub modyfikacji konfiguracji aplikacji.
Konsekwencje / ryzyko
Najgroźniejszym scenariuszem jest pełne zdalne wykonanie kodu na serwerze obsługującym aplikację. W praktyce może to oznaczać przejęcie instancji WWW, dostęp do poświadczeń zapisanych w konfiguracji, odczyt lub modyfikację danych w bazie, wdrożenie webshella, a także dalszy ruch boczny w infrastrukturze organizacji.
Podwyższone ryzyko dotyczy zwłaszcza podmiotów, które korzystają z licznych modułów contributed, rozwijają własne rozszerzenia i utrzymują publicznie dostępne panele administracyjne. Dodatkowym czynnikiem ryzyka jest brak pełnej inwentaryzacji komponentów Drupal oraz działanie na niewspieranych lub opóźnionych względem poprawek wersjach platformy.
Istotnym problemem pozostaje tempo możliwej weaponizacji. Jeżeli szczegóły techniczne wystarczą do odtworzenia wektora ataku, skanowanie internetu oraz pierwsze próby kompromitacji mogą pojawić się bardzo szybko po publikacji aktualizacji.
Rekomendacje
Priorytetem powinno być natychmiastowe ustalenie, czy organizacja korzysta z podatnych wersji Drupal core lub modułu Entity List. Zalecane jest jak najszybsze przejście na wskazane wersje naprawcze oraz potwierdzenie, że wszystkie środowiska produkcyjne, testowe i developerskie zostały objęte tym samym procesem aktualizacji.
- Zaktualizować Drupal core do wersji 11.4.10, 11.3.19 lub 10.6.19, zależnie od używanej gałęzi.
- Zaktualizować moduł Entity List do wersji 3.0.10.
- Jeśli szybkie patchowanie nie jest możliwe, rozważyć tymczasowe odinstalowanie modułu Field UI.
- Przeprowadzić przegląd modułów contributed i własnego kodu pod kątem ekspozycji funkcji związanych z encjami, formularzami i konfiguracją pól.
- Monitorować logi HTTP, PHP i systemowe pod kątem nietypowych żądań oraz aktywności administracyjnej.
- Ograniczyć dostęp do panelu administracyjnego z użyciem VPN, allowlist IP lub dodatkowej warstwy kontroli dostępu.
- Zweryfikować integralność plików aplikacji i sprawdzić, czy nie pojawiły się webshelle lub nieautoryzowane modyfikacje.
- Po podejrzeniu incydentu przeprowadzić rotację poświadczeń administracyjnych i sekretów aplikacyjnych.
Dla zespołów SOC i IR zasadne jest potraktowanie tych luk jako potencjalnego wektora początkowego dostępu. W praktyce warto przygotować hunting pod kątem nowych kont administracyjnych, zmian w konfiguracji modułów, nietypowych zadań cron, modyfikacji plików PHP oraz podejrzanych połączeń wychodzących z serwera WWW.
Podsumowanie
Najnowsze poprawki Drupal usuwają krytyczne luki RCE, które w typowych wdrożeniach mogą okazać się znacznie groźniejsze niż sugerowałaby analiza samej domyślnej instalacji. To kolejny przykład sytuacji, w której realna powierzchnia ataku powstaje na styku rdzenia, rozszerzeń i niestandardowych integracji.
Dla administratorów oznacza to konieczność szybkiego patchowania, przeglądu ekosystemu modułów oraz sprawdzenia, czy środowisko nie było już celem prób eksploatacji. Zwłoka w aktualizacji może znacząco zwiększyć ryzyko kompromitacji systemu.