Drupal a lansat patch-uri critice pentru vulnerabilitățile de execuție de cod la distanță

Cum pot chaina atacatorii aceste flaw-uri?

Drupal a publicat actualizări de securitate care rezolvă cinci vulnerabilități, dintre care două sunt clasate ca critice și pot permite execuția de cod la distanță. Flaw-urile afectează modulele Entity List și Field UI, iar căile de exploatare au fost identificate în componente contribuite.

Patch-urile au fost disponibile imediat pentru a reduce riscul de exploatare activă.

Vulnerabilitatea din modulul Entity List, identificată ca CVE-2026-108099, permite atacătorilor să manipuleze listările de entități în anumite condiții. Deși modulul singur nu este suficient pentru exploatare, devine periculoș când este combinat cu unele module contribuite sau configurări greșite.

Flaw-ul din Field UI are un comportament similar: necesită lanțarea cu alte vulnerabilități pentru a ajunge la execuția de cod la distanță. Ambele probleme provin din validare insuficientă a intrărilor și controale de acces în funcționalitățile de bază.

Ce trebuie să facă imediat proprietarii de site-uri?

Pentru a exploata aceste probleme, atacatorii trebuie să obțină prima acces limitat — de exemplu printr-un cont de utilizator cu privilegii reduse sau printr-un endpoint de debug expus. Apoi, pot manipula referințele de entități sau trimiterile de formulare pentru a injecta cod malicious.

Echipa de securitate Drupal a menționat că, la momentul lansării, nu au fost observate atacuri largi difuzate, dar facilitatea de a chaina aceste flaw-uri cresce riscul pentru site-urile care folosesc extensii vechi sau neintenționate.

Administratorii sunt rugați să aplice actualizările, indiferent de percepția lor despre exposiție.

Pot exploata atacatorii aceste vulnerabilități critice din Drupal?

Administratorii trebuie să actualizeze la versiunile Drupal core 10.2.5 sau 9.5.9, care includ corecțiile. Modulele contribuite trebuie revizuite pentru compatibilitate și actualizate dacă interacționează cu Entity List sau Field UI.

Drupal recomandă activarea notificărilor de securitate și verificarea jurnalelor de audit după actualizare, pentru a detecta orice încercare de exploatare. Întârzierea aplicării patch-urilor crește șansa de compromitere, mai ales pe instalările publice.

Este periculoasă flaw-ul din Entity List dacă nu sunt instalate module contribuite? Nu, vulnerabilitatea singură nu poate duce la execuția de cod la distanță. Necesită interacțiunea cu alte componente pentru a forma un lanț de exploatare valid.

Cât de repede trebuie aplicate patch-urile? Imediat. Drupal clasifică aceste probleme ca critice din cauza potențialului de compromitere completă a sistemului atunci când sunt chaine, chiar și dacă exploatarea activă nu a fost confirmată încă.