Drupal behebt RCE-Schwachstelle, ältere Branches erhalten keinen Patch
Die Drupal RCE-Schwachstelle im Field UI-Modul von core kann remote code execution ermöglichen. Das bedeutet, dass ein Angreifer möglicherweise Softwarebefehle auf dem Server der Website ausführen kann. Drupal veröffentlichte am 14. Oktober Korrekturen in den Versionen 11.4.10, 11.3.19 und 10.6.19. Das Drupal Security Team bewertete CVE-2026-108097 auf der Risikoskala des Projekts mit 19 von 25 Punkten und stufte die Schwachstelle damit als kritisch ein.
Drupal zufolge können Angreifer den anfälligen Code nicht allein über core erreichen. Die Ausnutzung hängt stattdessen von contributed modules ab, also optionalen Erweiterungen, die außerhalb von Drupal core entwickelt werden, oder möglicherweise von custom code, der die betroffene Funktion zugänglich macht. Das Advisory nennt die beteiligten contributed modules nicht, bestätigt jedoch, dass mehrere Angriffswege bekannt sind und mindestens einer davon keine Anmeldung des Angreifers erfordert. Daher ist es wichtig, die vollständige Sammlung der Module und benutzerdefinierten Integrationen einer Website zu überprüfen, anstatt das core-Update als einzigen relevanten Punkt zu betrachten.
Die unterstützten Korrekturen sind Drupal 11.4.10 für den Branch 11.4.x, 11.3.19 für 11.3.x und 10.6.19 für 10.6.x. Drupal 12.0.0-beta2 enthält die Korrektur ebenfalls, diese Beta ist jedoch nicht für produktive Websites vorgesehen. Für Drupal 11.2.x und ältere Versionen, Drupal 10.5.x und ältere Versionen sowie Drupal 8 und 9 ist keine Version mit Patch verfügbar, da diese Branches end of life erreicht haben. Websites, auf denen sie noch ausgeführt werden, müssen auf einen unterstützten Branch umsteigen. Die Sicherheitsversorgung für 11.3.x und 10.6.x soll im Dezember 2026 enden.
Die Zahl der nicht unterstützten Installationen ist erheblich. In der am 4. Oktober beginnenden Woche liefen 151.442 der 531.499 Websites, die ihre Drupal core-Version an drupal.org meldeten, auf einem Branch, den das Advisory als betroffen kennzeichnet, für den jedoch keine Korrektur veröffentlicht wurde. Das entspricht 28,5 % der meldenden Websites. Field UI wird außerdem durch Drupals Standard-Installationsprofil installiert. Websites, die mit diesem Profil erstellt wurden, verfügen daher in der Regel über das Modul, sofern es nicht von einem Administrator entfernt wurde.
Administratoren, die nicht sofort aktualisieren können, können Field UI deinstallieren. Dessen machine name besteht aus den durch einen Unterstrich verbundenen Wörtern field und ui. Drupal zufolge schützt das Entfernen des Moduls die Website, während das Update vorbereitet wird. Die Verwaltungsseiten für Felder und deren Darstellung sind in diesem Zeitraum jedoch nicht verfügbar. Drupal Steward, ein web application firewall-Service, der vom Security Team erstellte Regeln verwendet, blockiert bereits einige bekannte Angriffswege zu der Schwachstelle. Acquia, Pantheon, Ironstar und Skpr betreiben diesen Service für ihre Kunden. Das Advisory betont jedoch, dass er nicht jeden möglichen Angriffsweg abdeckt und kein Ersatz für ein Update ist.
Zum Zeitpunkt der Veröffentlichung bewertete Drupal die Schwachstelle so, dass kein öffentlich verfügbarer exploit code vorhanden war. Bis zum 15. Oktober war kein solcher Code aufgetaucht, und weder das Advisory noch öffentliche Berichte hatten Angriffe beschrieben, bei denen die Schwachstelle ausgenutzt wurde. Das Security Team hatte die geplante Veröffentlichung am 12. Oktober angekündigt und Administratoren geraten, Zeit dafür einzuplanen, da innerhalb von Stunden oder Tagen funktionsfähige exploits entwickelt werden könnten. Diese Warnung beruhte auf jüngsten Erfahrungen: Im Mai beobachtete Drupal innerhalb von zwei Tagen nach der Offenlegung einer Structured Query Language injection-Schwachstelle in core Ausnutzungsversuche. Diese Schwachstelle war auf Websites beschränkt, die die relationale Open-Source-Datenbank verwenden, die von vielen Webanwendungen genutzt wird. Die US Cybersecurity and Infrastructure Security Agency nahm diese frühere Schwachstelle später in ihren Katalog ausgenutzter Schwachstellen auf.
Die Schwachstelle lag in der Art und Weise, wie Field UI Verwaltungstabellen aus render arrays erstellte. Dabei handelt es sich um PHP-Datenstrukturen, die Drupal in Webseiten umwandelt. Vor der Korrektur übergab der Vorbereitungsschritt einer Tabelle jeden PHP callable, der in der region callback property einer Zeile gespeichert war, an die array-basierte PHP-Funktion zum Aufruf von callables. Dadurch wurde der callable ausgeführt, ohne dass geprüft wurde, worum es sich handelte. Ein PHP callable ist ein Verweis auf Code, den die Anwendung ausführen kann.
Der renderer von Drupal weist nicht vertrauenswürdige render callbacks seit Version 8.8 aus dem Jahr 2019 zurück. Dies folgte auf frühere Sicherheits-Advisories, die gezeigt hatten, dass das Rendering-System beliebige callbacks zu leicht aufrufen konnte. In diesem Fall vertraute der renderer den eigenen Methoden des Tabellenelements. Daher durfte der Vorbereitungsschritt der Tabelle ausgeführt werden, und die Sicherheitsprüfung wurde nie auf den zweiten callable angewendet, der von diesem Schritt gestartet wurde. Der betroffene Aufruf war mindestens seit Drupal 8.9.0 aus dem Jahr 2020 vorhanden.
In Drupal 11.4.10 führt der Tabellencode diesen callback nicht mehr aus. Er liest die region jeder Zeile direkt aus der Zeile aus. Wenn der Wert keiner bekannten region entspricht, verwendet er stattdessen die hidden region oder die erste region der Tabelle. core selbst nutzte die region callback property ausschließlich in Anzeigeformularen von Field UI. custom code, der diese property einer Tabellenzeile von Field UI zugewiesen hat, erhält den callback nach dem Update nicht mehr. Pantheon empfiehlt daher, die Seiten Manage fields und Manage display zu testen und den betroffenen custom code zu überprüfen.
Eine verwandte contributed extension namens Entity List erhielt unter CVE-2026-108099 ein separates kritisches Advisory zu remote code execution. Für sie gelten dieselben Ausnutzungsbedingungen, einschließlich eines bekannten Angriffswegs, der keine Anmeldung erfordert. Entity List 3.0.10 implementiert eine Änderung, die der Korrektur von Field UI entspricht. Durch das Update von Drupal core wird dieses Modul nicht separat aktualisiert. In der am 4. Oktober beginnenden Woche meldeten 90 Websites die Nutzung von Entity List.
Dieselben Drupal core-Versionen beheben außerdem zwei als moderately critical eingestufte cross-site scripting-Schwachstellen, durch die schädliche Seiteninhalte im Browser eines Besuchers ausgeführt werden könnten. CVE-2026-108515 betrifft das Link-Modul, während CVE-2026-108514 das Navigation-Modul betrifft. Für beide ist mindestens ein angemeldeter Benutzer erforderlich. Drupal 7 erreichte im Januar 2025 auf drupal.org end of life. Pantheon zufolge wurde im Rahmen seiner Vereinbarung mit Tag1 Consulting über long-term support für Drupal 7 jedoch Drupal 7.107 mit einem Backport der Field UI-Korrektur veröffentlicht.
Für Organisationen, die Unterstützung bei der Verwaltung von Systemen rund um die Website-Wartung benötigen, bietet AEU-I IT mit einem Security-first-Ansatz, Infrastruktur und Consulting an. Unabhängig von unterstützenden Diensten oder firewall-Regeln sollten Betreiber betroffener Drupal-Websites die passende korrigierte Version installieren, Entity List gegebenenfalls separat aktualisieren und anschließend die Seiten zur Feldverwaltung sowie relevanten custom code testen.