Drupal core bevat een kritieke kwetsbaarheid in de Field UI-module die een aanvaller in staat kan stellen code op de server van de site uit te voeren. De fixes werden uitgebracht op 14 oktober in Drupal 11.4.10, 11.3.19 en 10.6.19.
Volgens de Drupal Security Team-advies is de fout niet via core alleen te bereiken. Er bestaan meerdere exploitpaden via contributed modules, en minstens één bekend pad vereist geen login.
Geregistreerd als CVE-2026-108097, bevindt de kwetsbaarheid zich in Field UI, de core-module achter de adminpagina’s waarmee sitebouwers velden en hun weergave beheren. Drupal beoordeelt het op 19 van de 25 op zijn eigen risicoschaal, het niveau dat het project als kritisch aanduidt.
Het advies noemt niet welke contributed modules een route naar de fout openen, en ook aangepaste code kan de kwetsbaarheid blootleggen. Drew Webber van het Security Team en Octavio Galland worden genoemd als melders.
Wat nu te doen
De gefixeerde release per ondersteunde branch:
- Drupal 11.4.x: update naar 11.4.10
- Drupal 11.3.x: update naar 11.3.19
- Drupal 10.6.x: update naar 10.6.19
- Drupal 12.0.0 beta: 12.0.0-beta2, niet bedoeld voor productiesystemen
- Geen fix: Drupal 11.2.x en ouder, 10.5.x en ouder, en Drupal 8 en 9, die allemaal end-of-life zijn
Zowel 11.3.x als 10.6.x verliezen de beveiligingsdekking in december 2026.
In de week die begon op 4 oktober waren 151.442 van de 531.499 sites die hun Drupal-coreversie aan drupal.org rapporteerden (28,5%) op een branch die het advies als kwetsbaar vermeldt en waarvoor geen fix beschikbaar is.
Een site die nog niet kan updaten, kan de Field UI-module, field_ui, deinstalleren; dat “biedt bescherming zolang sites worden bijgewerkt”, aldus het advies. De adminpagina’s voor het beheren van velden en hun weergave zijn niet beschikbaar zolang de module is gedeïnstalleerd.
Field UI wordt geïnstalleerd door het Standard install profile van Drupal, dus een site die met dat profiel is gebouwd heeft de module tenzij iemand deze heeft verwijderd.
Drupal Steward, een web application firewall-service met regels geschreven door het Security Team, blokkeert reeds enkele bekende aanvalspaden voor deze kwetsbaarheid. Acquia, Pantheon, Ironstar en Skpr gebruiken het voor hun klanten. Het dekt niet elk mogelijk exploitpad, en die sites moeten toch bijwerken, aldus het advies.
Het advies beoordeelde de kwetsbaarheid bij publicatie als zonder publiek beschikbare exploitcode. Per 15 oktober was er nog geen exploit openbaar opgedoken, en noch het advies noch publieke rapporten beschreven aanvallen die de fout gebruikten.
Het Security Team had de release vooraf aangekondigd op 12 oktober en adviseerde sites tijd vrij te houden “omdat exploits binnen uren of dagen ontwikkeld kunnen worden.”
In mei meldde Drupal dat er binnen twee dagen na een advies over een core SQL-injectie-fout, die alleen sites op PostgreSQL trof, al exploitpogingen werden gezien; CISA heeft die fout opgenomen in zijn catalogus van geëxploiteerde kwetsbaarheden.
Wat de fix veranderde
Field UI bouwt zijn admin-tabellen op uit render arrays, de PHP-arrays die Drupal omzet naar HTML. Voor de fix voerde de pre-render stap van het table-element elke PHP-callable uit die elke tabelrij in de eigenschap region_callback droeg, via call_user_func_array, zonder controle op wat die callable precies was.
Drupal’s renderer weigert sinds versie 8.8 in 2019 onbetrouwbare render-callbacks uit te voeren, een beperking die werd toegevoegd nadat eerdere adviezen aangaven dat het render-systeem te makkelijk willekeurige callbacks kon aanroepen. De renderer vertrouwt de methoden van het table-element zelf, waardoor de pre-render stap werd uitgevoerd en de controle niet bij de callable terechtkwam die die stap vervolgens uitvoerde.
De code in 11.4.10 roept de callback niet langer aan. In plaats daarvan leest het elke rij’s region uit de eigen region-waarde van de rij en gebruikt het de verborgen region van de tabel, of de eerste region van de tabel, wanneer die waarde geen bekende region is. Diezelfde aanroep stond al in de code sinds minstens Drupal 8.9.0 in 2020.
In core zelf wordt de callback alleen gezet door Field UI’s eigen display-formulieren. Aangepaste code die region_callback op een field_ui_table-rij zette, zal merken dat die niet meer wordt uitgevoerd na de update. Pantheon raadt sites aan zulke code te controleren en de pagina’s manage fields en manage display te testen na het bijwerken.
Aparte melding: de Entity List-module kreeg een eigen kritieke remote code execution-advies, CVE-2026-108099, met dezelfde voorwaarden, waaronder een bekend pad dat geen login vereist. De release-opmerking voor versie 3.0.10 zegt dat de fix de wijziging in Field UI weerspiegelt, en het updaten van core werkt die module niet automatisch bij. In de week die begon op 4 oktober rapporteerden 90 sites dat ze de module gebruiken.
Dezelfde core-releases verhelpen ook twee matig kritieke cross-site scripting-kwetsbaarheden, in de Link-module (CVE-2026-108515) en de Navigation-module (CVE-2026-108514), beide vereisen minimaal een ingelogde gebruiker.
Drupal 7 bereikte end of life op drupal.org in januari 2025, maar Pantheon meldt dat hun Drupal 7 long-term support met Tag1 Consulting Drupal 7.107 heeft uitgebracht met een backport van de fix.
