Drupal 核心在其 Field UI 模块中存在一个关键漏洞，可能允许攻击者在网站服务器上运行代码，修复程序已于 10 月 14 日在 Drupal 11.4.10、11.3.19 和 10.6.19 中发布。
Drupal 安全团队在其公告中表示，攻击者无法仅通过核心访问该漏洞。通过贡献模块存在几条利用路径，至少有一条已知路径无需登录。
该漏洞被追踪为 CVE-2026-108097，位于 Field UI 中，这是管理网站构建者管理字段及其显示方式的管理页面背后的核心模块。Drupal 在其风险等级中将其评为 19 分（满分 25 分），该项目称其为关键级别。
公告没有列出打开漏洞路径的贡献模块，定制代码也可能暴露该漏洞。安全团队的 Drew Webber 和 Octavio Galland 被认为是报告此漏洞的人员。
现在该怎么办
每个受支持分支的修复版本：
Drupal 11.4.x：更新至 11.4.10
Drupal 11.3.x：更新至 11.3.19
Drupal 10.6.x：更新至 10.6.19
Drupal 12.0.0 beta：12.0.0-beta2，尚不适用于生产环境
无修复：Drupal 11.2.x 及以下，10.5.x 及以下，以及 Drupal 8 和 9，均已结束生命周期
11.3.x 和 10.6.x 将于 2026 年 12 月失去安全支持。
在 10 月 4 日开始的那一周，531,499 个向 drupal.org 报告其 Drupal 核心版本的网站中，有 151,442 个（28.5%）处于公告列出的受影响分支，并且没有收到修复。
公告表示，尚无法更新的网站可以卸载 Field UI 模块 field_ui，该模块“将在网站更新期间提供保护”。在卸载模块期间，管理字段及其显示的页面将不可用。
Field UI 是通过 Drupal 的标准安装配置文件安装的，因此从该配置文件构建的网站将拥有该模块，除非有人将其移除。
Drupal Steward 是一个网络应用防火墙服务，规则由安全团队编写，已经阻止了该漏洞的一些已知攻击向量。Acquia、Pantheon、Ironstar 和 Skpr 为其客户运行该服务。公告指出，它并未覆盖所有可能的利用方式，这些网站仍应进行更新。
公告在发布时评估该漏洞没有公开可用的利用代码。截至 10 月 15 日，尚未出现任何利用代码，公告或公共报告中也没有描述使用该漏洞的攻击。
安全团队在 10 月 12 日预先宣布了该版本，并告知网站“预留时间进行更新，因为利用代码可能在几小时或几天内被开发出来”。
在 5 月，Drupal 报告在其针对仅影响 PostgreSQL 网站的核心 SQL 注入漏洞的公告发布后两天内出现了利用尝试，CISA 将该漏洞添加到其被利用漏洞目录中。
修复更改了什么
Field UI 从渲染数组构建其管理表格，这是 Drupal 转换为 HTML 的 PHP 数组。在修复之前，表格元素的预渲染步骤运行每个表格行在其 #region_callback 属性中携带的任何 PHP 可调用对象，通过 call_user_func_array，且没有检查该可调用对象是什么。
自 2019 年版本 8.8 以来，Drupal 的渲染器拒绝运行不受信任的渲染回调，这是在早期公告显示渲染系统过于容易调用任意回调后添加的限制。渲染器信任表格元素自己的方法，因此它运行了预渲染步骤，而检查从未到达该步骤随后执行的可调用对象。
11.4.10 代码不再调用回调。它从行的自身区域值读取每行的区域，并在该值不是已知区域时使用表格的隐藏区域或其第一个区域。自 2020 年 Drupal 8.9.0 以来，该调用至少在代码中存在。
在核心本身中，该回调仅由 Field UI 自己的显示表单设置。设置 #region_callback 的定制代码在更新后将发现其不再运行。Pantheon 建议网站检查此类代码，并在更新后测试管理字段和管理显示页面。
另外，Entity List 模块也收到了自己的关键远程代码执行公告 CVE-2026-108099，具有相同的条件，包括一个无需登录的已知路径。其 3.0.10 发布说明表示修复与 Field UI 的更改相似，更新核心不会更新该模块。在 10 月 4 日开始的那一周，有 90 个网站报告使用了该模块。
相同的核心版本还修复了两个中等关键的跨站脚本漏洞，分别位于 Link 模块（CVE-2026-108515）和 Navigation 模块（CVE-2026-108514），这两个漏洞都至少需要登录用户。
Drupal 7 于 2025 年 1 月在 drupal.org 达到生命周期结束，但 Pantheon 表示其与 Tag1 Consulting 的 Drupal 7 长期支持已发布包含修复的 Drupal 7.107。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。