Разработчики системы управления содержимым Drupal выпустили обновления безопасности, устраняющие две критические уязвимости удалённого выполнения кода (Remote Code Execution, RCE). При успешной эксплуатации подобные ошибки могут позволить злоумышленнику выполнять произвольный код на сервере, где размещён сайт.
Проблемы затрагивают модуль Field UI, входящий в ядро Drupal, и дополнительный модуль Entity List. Команда безопасности проекта предупредила администраторов заранее: после публикации сведений об уязвимостях злоумышленники могут разработать рабочие эксплойты в течение нескольких часов или дней. Поэтому владельцам сайтов рекомендовали заранее подготовить обновление и установить исправления сразу после их выхода.
Официальные рекомендации были опубликованы 14 октября 2026 года. В них подчёркивается, что обе уязвимости имеют критический рейтинг, а для каждой известны потенциальные пути эксплуатации через другие модули или пользовательский код. По крайней мере один из описанных сценариев для каждой проблемы может не требовать аутентификации.
Это не означает, что каждый сайт Drupal автоматически уязвим для любого удалённого запроса. Возможность атаки зависит от конфигурации сайта, используемых модулей и того, каким образом доступна уязвимая функциональность. Тем не менее администраторам не следует откладывать обновление: наличие нескольких путей эксплуатации усложняет оценку риска без проверки конкретной установки.
Какие уязвимости обнаружены в Drupal
Drupal опубликовал два отдельных предупреждения о критических уязвимостях удалённого выполнения кода. Каждая проблема связана со своим компонентом и имеет собственный идентификатор CVE.
- CVE-2026-108097 — критическая уязвимость в модуле Field UI, входящем в состав Drupal Core. Она связана с возможностью удалённого выполнения кода при определённых условиях эксплуатации.
- CVE-2026-108099 — критическая уязвимость в дополнительном модуле Entity List, предназначенном для создания списков сущностей Drupal без использования Views.
Обе проблемы получили оценку 19 из 25 по системе оценки рисков Drupal. Высокий рейтинг обусловлен потенциально серьёзными последствиями успешной эксплуатации. При этом оценка отражает характеристики уязвимости, а не подтверждение того, что злоумышленники уже атакуют каждый сайт, использующий Drupal.
Важная особенность обеих уязвимостей заключается в том, что уязвимый компонент не обязательно предоставляет готовый путь атаки сам по себе. Для эксплуатации могут потребоваться другие модули, определённые настройки или пользовательский код, который обращается к проблемной функциональности. Однако наличие подобных зависимостей не делает проблему безопасной: дополнительные модули и собственные расширения сайта способны создавать новые сценарии атаки.
CVE-2026-108097: критическая ошибка в Drupal Core Field UI
Первая уязвимость находится в Field UI — компоненте ядра Drupal, который предоставляет интерфейс управления полями сущностей и связанными настройками. Поля используются для хранения различных типов данных: текста, изображений, ссылок, дат и других значений, из которых формируются страницы сайта.
Согласно официальному предупреждению Drupal, уязвимость связана с возможностью удалённого выполнения кода. Само ядро без дополнительных компонентов не предоставляет прямого пути эксплуатации этой ошибки, однако сторонние модули могут создавать несколько потенциально опасных сценариев. Некоторые из них не требуют авторизации пользователя. Уязвимую функциональность также может раскрывать пользовательский код.
Это особенно важно для сайтов со сложной архитектурой. Многие установки Drupal используют не только стандартные компоненты, но и дополнительные расширения, собственные модули, интеграции с внешними системами и нестандартные обработчики данных. Даже если администратор не замечает подозрительной активности в стандартном интерфейсе, дополнительный код может менять условия, при которых уязвимость становится доступной.
Drupal рекомендует обновить ядро до исправленной версии. В качестве временной меры, пока обновление невозможно, проект указывает на возможность удалить модуль Field UI — field_ui. Это помогает снизить риск эксплуатации именно данной уязвимости, но не заменяет полноценное обновление Drupal Core и не устраняет другие проблемы безопасности.
CVE-2026-108099: уязвимость дополнительного модуля Entity List
Вторая критическая проблема затрагивает Entity List — дополнительный модуль Drupal, который позволяет создавать списки сущностей без использования Views. Сущности в Drupal представляют различные типы данных, например материалы, пользователей, таксономические термины и другие объекты сайта.
Модуль Entity List не входит в ядро Drupal, поэтому его необходимо проверять и обновлять отдельно. Наличие исправленного Drupal Core само по себе не гарантирует устранения этой уязвимости, если на сайте продолжает использоваться уязвимая версия Entity List.
По данным команды безопасности, ошибка не обязательно эксплуатируется непосредственно через Entity List в изолированном виде. Однако взаимодействие с другими дополнительными модулями может создавать серьёзные пути атаки. По крайней мере один известный сценарий не требует аутентификации. Аналогичный риск может возникнуть при использовании пользовательского кода, который предоставляет доступ к уязвимой функциональности.
Для устранения проблемы разработчики выпустили Entity List 3.0.10. Администраторам, использующим этот модуль, необходимо проверить его установленную версию и выполнить обновление независимо от обновления ядра.
Какие версии Drupal затронуты
По официальным предупреждениям, уязвимости затрагивают поддерживаемые ветки Drupal Core, а также определённые предварительные версии Drupal 12. Исправленные версии зависят от используемой ветки ядра.
- Drupal 10.6.x*: необходимо обновиться до версии 10.6.19 или более новой исправленной версии в рамках поддерживаемой ветки.
- Drupal 11.3.x*: требуется версия 11.3.19 или более новая исправленная версия.
- Drupal 11.4.x*: необходимо установить версию 11.4.10 или более новую исправленную версию.
- Drupal 12: уязвимость затрагивает предварительные версии от 12.0.0-alpha1 до версий ниже beta2. Исправления включены в beta2, а окончательный стабильный выпуск должен содержать исправления обеих проблем.
- Entity List: для устранения CVE-2026-108099 необходимо обновить модуль до версии 3.0.10.
Следует учитывать, что старые ветки Drupal 10 и Drupal 11 могут уже не получать исправления безопасности. В частности, версии Drupal 10 до ветки 10.6.x* и Drupal 11 до ветки 11.3.x* обозначены проектом как неподдерживаемые. Drupal 8 и Drupal 9 также достигли конца жизненного цикла.
Если сайт использует неподдерживаемую версию, одной попытки установить отдельный патч может быть недостаточно. Администратору необходимо спланировать переход на поддерживаемую ветку, проверить совместимость модулей и провести тестирование перед обновлением рабочего сайта.
Как обновить Drupal Core и Entity List
Перед обновлением рекомендуется определить точные версии ядра и дополнительных модулей, сделать резервную копию базы данных и файлов сайта, а затем проверить доступность исправлений для используемой ветки.
Для сайтов, управляемых через Composer, стандартный процесс обновления Drupal Core и дополнительных модулей может выглядеть следующим образом. Конкретные команды необходимо адаптировать к структуре проекта и ограничениям его зависимостей.
# Проверить текущую версию Drupal composer show drupal/core-recommended # Проверить установленную версию Entity List composer show drupal/entity_list # Обновить Drupal Core до исправленной версии composer update "drupal/core-recommended" --with-dependencies # Обновить Entity List composer require 'drupal/entity_list:^3.0' --update-with-dependencies # Выполнить обновления базы данных drush updatedb # Очистить кеш Drupal drush cache:rebuild
Важно: приведённые команды являются примером, а не универсальной последовательностью для любой установки. Команда обновления Core может выбрать более новую версию в рамках ограничений проекта, а команда для Entity List сама по себе не гарантирует, что Composer установит именно версию 3.0.10. Перед выполнением следует проверить ограничения зависимостей в composer.json и composer.lock, а после обновления обязательно убедиться, что фактически установлены исправленные версии.
Если проект использует пакет drupal/core вместо drupal/core-recommended, команды обновления будут отличаться. Для производственной установки желательно сначала проверить обновление на тестовой копии сайта, особенно если используются многочисленные дополнительные модули или собственные расширения.
Что делать, если обновить сайт немедленно невозможно
Обновление до исправленной версии остаётся предпочтительным способом защиты. Если немедленное обновление невозможно из-за зависимостей или требований к доступности сайта, необходимо временно уменьшить поверхность атаки и ускорить подготовку исправления.
- Для CVE-2026-108097: Drupal указывает, что удаление модуля Field UI (
field_ui) может смягчить риск этой конкретной уязвимости. Перед удалением нужно убедиться, что модуль не требуется для работы сайта и что изменение не приведёт к нежелательным последствиям. - Для CVE-2026-108099: необходимо проверить использование Entity List и подготовить обновление до 3.0.10. Удаление Field UI не устраняет уязвимость дополнительного модуля Entity List.
- Проверить дополнительные модули и собственный код: следует установить, какие компоненты используют уязвимую функциональность и какие пути доступа могут быть доступны неавторизованным пользователям.
- Ограничить административный доступ: убедиться, что доступ к панели управления, SSH и другим служебным интерфейсам ограничен необходимыми пользователями.
- Проверить журналы: изучить логи веб-сервера, Drupal и системы обнаружения атак на предмет подозрительных запросов, ошибок и неожиданного поведения.
Drupal Steward может защищать сайты от некоторых известных векторов эксплуатации, связанных с первой уязвимостью. Однако официальное предупреждение подчёркивает, что такая защита не покрывает все возможные сценарии. Поэтому наличие Drupal Steward не отменяет необходимости установить обновление.
Временные меры следует рассматривать только как промежуточный этап. Если уязвимость затрагивает используемый компонент, откладывать обновление на неопределённый срок опасно.
Каковы последствия успешной RCE-атаки
Удалённое выполнение кода относится к наиболее опасным классам уязвимостей веб-приложений. Если злоумышленник получает возможность выполнять код на сервере, последствия могут выйти далеко за пределы отдельной страницы или учётной записи.
В зависимости от прав процесса веб-сервера и конфигурации системы успешная атака может привести к следующим последствиям:
- изменению содержимого сайта и размещению вредоносных страниц;
- чтению конфигурационных файлов и попыткам получить доступ к секретам и учётным данным;
- установке вредоносного кода или созданию механизмов повторного доступа;
- доступу к данным пользователей, если права процесса и архитектура приложения позволяют это сделать;
- использованию скомпрометированного сервера для дальнейших атак на другие системы.
Это возможные последствия класса RCE, а не подтверждение того, что все перечисленные действия уже выполнялись через CVE-2026-108097 или CVE-2026-108099. Реальный ущерб зависит от привилегий веб-сервера, изоляции окружения, доступных данных и дополнительных средств защиты.
После обнаружения признаков возможной эксплуатации простого обновления может оказаться недостаточно. Следует проверить целостность файлов, активность пользователей, запланированные задачи, конфигурацию и журналы. При подтверждённой компрометации необходимо устранить причину проникновения, восстановить доверенное состояние системы и сменить потенциально раскрытые секреты.
Почему Drupal предупреждал об угрозе заранее
12 октября команда безопасности Drupal опубликовала предварительное уведомление о критическом обновлении, которое должно было выйти 14 октября. В предупреждении администраторам рекомендовали заранее подготовиться к обновлению, поскольку эксплойты могут появиться вскоре после раскрытия технических подробностей.
Такая практика помогает администраторам выделить время на подготовку резервных копий, проверку зависимостей и планирование обновления без длительного простоя. Для крупных сайтов, государственных порталов, университетов и организаций с большим количеством интеграций обновление может требовать предварительного тестирования и согласования.
При этом предварительное уведомление не следует воспринимать как доказательство массовой эксплуатации. Оно указывает на серьёзность проблемы и потенциально короткий промежуток времени между публикацией деталей и появлением доступных атакующих инструментов.
Drupal используется для создания сайтов организаций, образовательных учреждений, государственных структур и некоммерческих проектов. Поэтому своевременная установка обновлений имеет значение не только для владельцев сайтов, но и для защиты пользователей, чьи данные обрабатываются этими системами.
Выводы
Drupal устранил две критические уязвимости удалённого выполнения кода: CVE-2026-108097 в модуле Field UI ядра Drupal и CVE-2026-108099 в дополнительном модуле Entity List. Обе проблемы получили оценку 19 из 25 по системе оценки рисков проекта, а для каждой существуют потенциальные пути эксплуатации, в том числе сценарии без аутентификации.
Для Drupal Core необходимо установить исправленную версию в соответствии с используемой веткой: 10.6.19, 11.3.19 или 11.4.10. Дополнительный модуль Entity List следует обновить до 3.0.10. Старые неподдерживаемые ветки требуют отдельного плана миграции на поддерживаемую версию.
Если обновление невозможно немедленно, временной мерой для CVE-2026-108097 может стать удаление Field UI, однако это не устраняет уязвимость Entity List. Защита на уровне веб-приложения также не заменяет исправление программного обеспечения.
Администраторам рекомендуется как можно скорее проверить версии ядра и модулей, создать резервную копию, установить исправления и проверить состояние сайта. При подозрении на эксплуатацию необходимо дополнительно провести расследование, поскольку установка патча сама по себе не гарантирует устранения последствий уже состоявшейся атаки.
Часто задаваемые вопросы
Это критическая уязвимость удалённого выполнения кода в модуле Field UI, входящем в Drupal Core. Для её эксплуатации могут потребоваться дополнительные модули или пользовательский код, а один из известных путей атаки не требует авторизации.
Это критическая уязвимость удалённого выполнения кода в дополнительном модуле Entity List. Опасные сценарии могут возникать при взаимодействии с другими модулями или пользовательским кодом. Для устранения проблемы требуется обновление Entity List до версии 3.0.10.
Для поддерживаемых веток исправления доступны в Drupal 10.6.19, 11.3.19 и 11.4.10. Пользователям других или неподдерживаемых веток следует проверить официальное предупреждение и спланировать переход на поддерживаемую версию.
Для обеих проблем команда безопасности описывает по крайней мере один потенциальный путь эксплуатации, который не требует аутентификации. Однако возможность атаки зависит от конфигурации сайта, дополнительных модулей и доступности уязвимой функциональности.
Нет, если на сайте установлен уязвимый Entity List. Ядро Drupal и дополнительные модули обновляются отдельно. Необходимо проверить и исправить оба компонента, если они используются.
По официальным рекомендациям Drupal, удаление модуля Field UI может смягчить риск CVE-2026-108097, пока устанавливается исправление. Но эта мера не устраняет CVE-2026-108099 в Entity List и не заменяет полноценное обновление ядра.
Если ветка больше не поддерживается, необходимо запланировать переход на поддерживаемую версию. Старые версии могут не получать исправления безопасности, поэтому установка только отдельных обновлений не всегда обеспечивает достаточную защиту.
Нет. Предупреждение указывает на высокую серьёзность проблем и вероятность появления эксплойтов в ближайшее время, но само по себе не доказывает массовую эксплуатацию. Администраторам всё равно следует действовать без промедления.
Следует сохранить журналы и другие доказательства, проверить целостность файлов, учётные записи, конфигурацию и активность процессов. При подтверждённой компрометации необходимо устранить уязвимость, восстановить доверенное состояние сайта и сменить потенциально раскрытые секреты.
Первоисточники и дополнительная информация
- Drupal.org — SA-CORE-2026-014: критическая уязвимость Field UI, CVE-2026-108097
- Drupal.org — SA-CONTRIB-2026-218: критическая уязвимость Entity List, CVE-2026-108099
- Drupal.org — официальные предупреждения безопасности Drupal Core
- Drupal.org — полный список предупреждений безопасности
- Canadian Centre for Cyber Security — предупреждение о критической уязвимости Drupal
- Drupal.org — проект Entity List и доступные версии модуля
