Drupal zakrpio kritične ranjivosti u modulima Field UI i Entity List
Zakrpe za dve ranjivosti izvršavanja koda dostupne su od 14. oktobra. Iskorišćavanje zavisi od dodatnih modula ili prilagođenog koda.
Šta se desilo?
Drupal je 14. oktobra 2026. objavio ispravke za CVE-2026-108097 u Field UI modulu jezgra i CVE-2026-108099 u dodatnom modulu Entity List. Obe imaju ocenu 19/25 na Drupal skali rizika; to nije CVSS ocena.
Koga pogađa?
Pogođene opsege verzija navodimo u polju affected. Jezgro, odnosno Entity List, sami nisu dovoljni za iskorišćavanje: potrebni su drugi moduli ili prilagođeni kod. Za oba problema postoji poznata putanja bez autentifikacije.
Kako se zaštititi?
Ažurirajte jezgro na 10.6.19, 11.3.19 ili 11.4.10, prema grani, i Entity List na 3.0.10. Nepodržane grane prebacite na podržanu verziju.
Tehnički detalji
Privremena mera za ranjivost jezgra jeste deinstalacija Field UI modula (field_ui). Ona ne zamenjuje zasebno ažuriranje Entity List modula. Objavljena obaveštenja ne potvrđuju aktivne napade.
Zašto je važno?
Mogućnost izvršavanja koda zahteva prioritetnu proveru instalacija. Ne treba pretpostaviti da svaki Drupal sajt ima istu putanju napada.
Preporuka Sajber Radara
Napravite rezervnu kopiju, primenite odgovarajuće ispravke i proverite rad sajta. Evidentirajte verzije i pregledajte neuobičajene promene datoteka i naloga.