Drupal, kimlik doğrulamasız kod çalıştırma yolu açan kritik Field UI açığını kapattı

Drupal Güvenlik Ekibi, 14 Ekim 2026'da Drupal çekirdeğindeki Field UI modülünde bulunan kritik bir uzaktan kod çalıştırma açığı için düzeltme yayımladı. CVE-2026-108097 olarak izlenen ve SA-CORE-2026-014 numaralı duyuruyla açıklanan açığın risk puanı 25 üzerinden 19. Duyuruya göre Drupal çekirdeği açığı tek başına doğrudan ortaya çıkarmıyor; ancak eklenti (contributed) modüller ciddi istismar yolları oluşturuyor ve bunlardan en az biri kimlik doğrulaması gerektirmiyor.

Neler oldu?

Duyuru, özel geliştirilmiş kodların da açığa açık işlevi ortaya çıkarabileceğini belirtiyor. The Hacker News'in aktardığına göre Field UI, yönetim tablolarını render dizilerinden oluşturuyor ve düzeltme öncesinde tablo öğesinin ön işleme adımı her satırdaki #region_callback değerini hiçbir doğrulama yapmadan PHP'nin call_user_func_array fonksiyonuna iletiyordu. Yayın, Drupal'ın render motorunun 8.8 sürümünden bu yana güvenilmeyen geri çağırmaları reddettiğini, ancak tablo öğesinin kendi ön işleme yöntemi güvenilir kabul edildiği için denetlenmemiş geri çağırmanın yine de çalıştığını açıklıyor. Düzeltme, geri çağırmayı tamamen bırakıp bölge değerini doğrudan okuyor.

Açığı Drupal Güvenlik Ekibi'nden Drew Webber ve Octavio Galland bildirdi. The Hacker News'e göre ekip sürümü 12 Ekim'de önceden duyurmuş ve istismar kodunun saatler ya da günler içinde geliştirilebileceği uyarısında bulunmuştu.

Kimler etkileniyor?

Duyuruya göre 8.9.0 ile 10.6.19 öncesi, 11.0.0 ile 11.3.19 öncesi, 11.4.0 ile 11.4.10 öncesi ve 12.0.0-alpha1 ile 12.0.0-beta2 öncesi sürümler etkileniyor. Drupal 8 ve 9 ile 10.5 ve öncesi, 11.2 ve öncesi sürümler destek dışı olduğu için düzeltme almıyor. The Hacker News, drupal.org kullanım verilerine dayanarak projeye raporlama yapan sitelerin yaklaşık yüzde 28,5'inin düzeltmesi olmayan etkilenmiş bir sürümde olduğunu aktardı.

Aynı sürümde, eklenti olan Entity List modülünde aynı koşullara sahip kritik CVE-2026-108099 açığı da 3.0.10 sürümüyle kapatıldı; bu modül çekirdek güncellemesiyle güncellenmiyor. Link ve Navigation çekirdek modüllerindeki CVE-2026-108515 ve CVE-2026-108514 numaralı orta kritiklikteki XSS açıkları ise oturum açmış kullanıcı gerektiriyor.

The Hacker News'e göre 15 Ekim itibarıyla kamuya açık istismar kodu veya saldırı bildirimi bulunmuyor.

Ne yapmalı?

• Kullandığınız sürüm koluna göre Drupal 11.4.10, 11.3.19 veya 10.6.19 sürümüne güncelleyin.
• Hemen güncelleme yapılamıyorsa duyuru, geçici koruma olarak çekirdekteki field_ui modülünün kaldırılmasını öneriyor; bu durumda alan ve görünüm yönetimi sayfaları kullanılamaz.
• Entity List kullanan siteler modülü ayrıca 3.0.10 sürümüne güncellemeli.
• Duyuruya göre Drupal Steward bilinen bazı saldırı yollarını engelliyor ancak hepsini değil; bu nedenle güncelleme şart.
• Destek dışı sürümlerdeki siteler desteklenen bir sürüme geçişi planlamalı.