Drupal har publisert sikkerhetsoppdateringer for to kritiske sårbarheter i innholdsstyringssystemet. Hullene berører Field UI-modulen i Drupal-kjernen og den tredjepartsutviklede modulen Entity List, og kan gi angripere mulighet til å kjøre kode eksternt på berørte nettsteder.

Drupal Security Team varslet tidligere i uken at administratorer burde sette av tid til oppdateringene. «The Drupal Security Team urges you to reserve time for core updates at that time because exploits might be developed within hours or days», advarte sikkerhetsteamet.

Alle støttede Drupal-versjoner er berørt

Prosjektet opplyser at alle versjoner av Drupal-kjernen som fortsatt støttes, er berørt. Sårbarhetene har identifikatorene CVE-2026-108097 og CVE-2026-108099.

For CVE-2026-108097 skriver Drupal at sårbarheten ikke kan utnyttes ved hjelp av Drupal-kjernen alene. Bidragsmoduler kan imidlertid gi flere mulige angrepsveier, og minst én av dem krever ikke autentisering. Også egendefinert kode kan gjøre den sårbare funksjonaliteten tilgjengelig.

Den andre sårbarheten, CVE-2026-108099, krever en tilsvarende kombinasjon med bidragsmoduler eller egendefinert kode. Også her finnes det minst én kjent angrepsvei som ikke krever autentisering.

Disse versjonene bør installeres

Administratorer anbefales å oppdatere Drupal-kjernen til versjon 10.6.19, 11.3.19 eller 11.4.10, avhengig av hvilken utgivelsesgren nettstedet bruker. Entity List bør oppdateres til versjon 3.0.10.

«All versions of Drupal prior to 10.6.x, as well as all versions of Drupal 11 prior to 11.3.x, are end-of-life and no longer supported», opplyser utvikleren. Det betyr at eldre versjoner ikke lenger får sikkerhetsoppdateringer.

Sårbarhetene finnes også i forhåndsutgaver av Drupal 12 før beta 2. Disse versjonene er ikke beregnet for produksjonsmiljøer. Den endelige, stabile versjon 12.0 vil inneholde rettelser for begge sikkerhetshullene.

Field UI kan avinstalleres som midlertidig tiltak

Administratorer som ikke kan oppgradere til en sikker versjon, anbefales å avinstallere Drupals Field UI-modul i kjernen. Modulen har maskinnavnet field_ui, og avinstallering beskrives som et effektivt avbøtende tiltak.

Drupal opplyser samtidig at Drupal Steward beskytter mot enkelte kjente angrepsveier, men ikke dekker alle mulige utnyttelser. Prosjektet anbefalte allerede før oppdateringene at administratorer installerte den nyeste støttede feilrettingsversjonen for sin Drupal-versjon, slik at eventuelle andre oppgraderingsproblemer kunne håndteres før sikkerhetsoppdateringen.

Drupal er et gratis og åpen kildekode-basert innholdsstyringssystem som brukes til å bygge og administrere nettsteder. Ifølge prosjektets nettsted kjører mer enn én million nettsteder på Drupal, blant annet hos offentlige virksomheter, universiteter og ideelle organisasjoner.