Критическая уязвимость Drupal оставила без обновления больше 151 тысячи сайтов

Команда Drupal 14 октября закрыла уязвимость в Field UI — штатном компоненте, через который администраторы настраивают поля контента и порядок их показа. Запись получила номер CVE-2026-108097, оценку 9,8 по CVSS 3.1 и статус критической: по внутренней шкале Drupal это 19 баллов из 25 возможных. Само по себе уязвимое ядро не открывает прямую дорогу к атаке.

Для реализации нужен дополнительный модуль или собственный код сайта, который выстраивает цепочку вызовов к проблемной функциональности Field UI. Разработчики знают несколько серьёзных сценариев, и как минимум в одном из них удалённое выполнение кода доступно анонимному посетителю без учётной записи. Исправления вошли в Drupal 11.4.10, 11.3.19, 10.6.19 и бета-версию 12.0.0-beta2.

Уязвимыми считаются Drupal 8.9.0–10.6.18, 11.0.0–11.3.18, 11.4.0–11.4.9 и ранние сборки Drupal 12. Владельцам сайтов на ветках 11.2.x и ниже или 10.5.x и ниже, которые уже не поддерживаются, отдельного патча не дождаться — придётся переходить на актуальную версию. Масштаб проблемы виден по собственной статистике Drupal.

За неделю с 4 октября из 531 499 сайтов, которые сообщают свою версию на Drupal.org, 151 442 установки, или около 28,5%, работали на устаревших ветках, попадающих под бюллетень без возможности получить отдельное обновление. Выборка не охватывает всю базу CMS, поскольку учитывает только ресурсы, передающие сведения о версии. Для тех, кто не может обновиться немедленно, Drupal рекомендует временно удалить модуль Field UI с машинным именем field_ui.

Это блокирует известный путь атаки, но лишает панель управления страницами настройки полей и их отображения. Сервис Drupal Steward уже фильтрует часть известных векторов, однако команда проекта не считает такую защиту полноценной заменой патчу. публичного эксплойта для CVE-2026-108097 не было, подтверждённых атак тоже не описывалось.

При этом Drupal заранее предупредил о срочном релизе, потому что рабочие эксплойты после раскрытия подобных ошибок нередко появляются в течение часов или дней. Весной похожая тревога возникала вокруг SQL-инъекции, способной привести к удалённому выполнению кода. Релиз 11.4.10 закрывает не только критическую RCE-уязвимость, но и две менее опасные XSS-ошибки в модулях Link и Navigation.

Для администраторов приоритет выглядит однозначно: перейти на поддерживаемую ветку, установить свежий security-релиз и проверить дополнительные модули или собственные доработки, которые могут открывать доступ к Field UI. Временное удаление Field UI в таких случаях остаётся лишь мерой до обновления, а не постоянным решением. Держать уязвимый компонент выключенным долго не получится без потери привычных инструментов управления контентом, поэтому основной задачей остаётся переход на версию с исправлением и аудит всех нестандартных расширений.