Критическая RCE в модуле Field UI ядра Drupal: обновление до 10.6.19, 11.3.19 и 11.4.10

14 октября 2026 года команда безопасности Drupal выпустила бюллетень SA-CORE-2026-014: в модуле Field UI ядра найдена уязвимость удалённого выполнения кода CVE-2026-108097 с оценкой 19 из 25 (Critical). Через ряд контрибных модулей её можно эксплуатировать без авторизации. Сайтам нужно обновить ядро до 10.6.19, 11.3.19 или 11.4.10, а если сразу не получается — временно удалить модуль field_ui.

Для компаний, у которых на Drupal работают корпоративные порталы, медиа или сайты вузов и госсектора, это приоритетный патч: Drupal прямо предупреждает, что эксплойты могут появиться за часы или дни. Если обновлениями ядра и модулей у вас никто не занимается системно, это задача для регулярной технической поддержки сайта, а не разовой реакции на новость.

Ниже — какие версии затронуты, почему «в ядре само по себе не эксплуатируется» не повод откладывать обновление и что проверить после патча. Если вы как раз выбираете платформу для нового проекта, пригодится наш разбор того, как выбрать CMS для сайта с учётом стоимости сопровождения.

Что нашли в Field UI

Field UI — модуль ядра, через который администраторы добавляют поля к типам материалов и настраивают формы. По данным бюллетеня, уязвимость связана с непроверяемыми PHP-колбэками при отрисовке таблиц интерфейса Field UI. Ключевая оговорка Drupal: напрямую, на «чистом» ядре, дыра не эксплуатируется, но вместе с контрибными модулями существует несколько серьёзных путей атаки, и как минимум один из них не требует входа в систему.

Уязвимость нашли и сообщили о ней Drew Webber и Octavio Galland. На момент публикации бюллетеня публичного эксплойта не было, атак в дикой природе тоже не зафиксировано — но команда безопасности Drupal отдельно предупредила, что рабочий эксплойт может появиться в течение часов или дней после раскрытия.

Какие версии затронуты и куда обновляться

Уязвимы все поддерживаемые ветки ядра:

• Drupal с 8.9.0 до 10.6.18 включительно — обновление до 10.6.19;
• Drupal с 11.0.0 до 11.3.18 — обновление до 11.3.19;
• Drupal с 11.4.0 до 11.4.9 — обновление до 11.4.10;
• Drupal 12.0.0-alpha1 — 12.0.0-beta1 — переход на следующую бета-версию.

Ветки 11.2.x и ниже, 10.5.x и ниже, а также Drupal 8 и 9 сняты с поддержки — исправлений для них не будет. Сайт на такой версии сначала нужно перевести на поддерживаемую ветку, и это уже проект миграции, а не установка патча.

Второй критический бюллетень в тот же день

Одновременно вышел SA-CONTRIB-2026-218 для контрибного модуля Entity List (CVE-2026-108099, та же оценка 19/25). Схема похожая: сам по себе модуль не эксплуатируется, но в связке с другими контрибными модулями есть путь RCE без авторизации. Исправление — Entity List 3.0.10. В тот же релиз Drupal закрыл и три XSS: две в ядре (включая модуль Link) и одну в теме администрирования Gin. Поэтому после обновления ядра стоит прогнать composer outdated по всем контрибным пакетам, а не только по drupal/core.

Что делать командам прямо сейчас

1. Инвентаризируйте сайты на Drupal. Включая забытые лендинги, staging-стенды и мультисайты — уязвимы все ветки с 8.9.0.
2. Обновите ядро до 10.6.19, 11.3.19 или 11.4.10 через Composer и выполните обновление базы (drush updb), затем сбросьте кеш.
3. Не можете обновиться сегодня — удалите Field UI. Drupal называет это рабочей временной мерой: drush pm:uninstall field_ui. Модуль нужен только для настройки полей через админку, на работу самих полей и контента удаление не влияет.
4. Обновите Entity List до 3.0.10, если он установлен, и проверьте остальные контрибные модули из октябрьских бюллетеней.
5. Проверьте логи веб-сервера и watchdog на нетипичные запросы к административным маршрутам Field UI с 14 октября — особенно если сайт обновлялся с задержкой.
6. Закрепите процесс. Подпишитесь на рассылку бюллетеней Drupal и заведите регламент: критические патчи ядра — в течение суток, с откатом через бэкап.

Если после инцидента нужна независимая проверка, стоит заказать пентест веб-приложения — он покажет, какие ещё связки модулей открывают сайт снаружи.

Часто задаваемые вопросы

Мой сайт на «чистом» ядре без контрибных модулей — он в безопасности? По бюллетеню, на одном ядре уязвимость напрямую не эксплуатируется. Но реальные сайты почти всегда используют контрибные модули, а какие именно открывают путь атаки, Drupal не раскрывает. Обновляться нужно в любом случае.

Ломает ли удаление Field UI работу сайта? Нет: модуль отвечает только за интерфейс управления полями. Созданные поля и контент остаются. После обновления ядра модуль можно включить обратно.

Затронут ли Drupal 7? Бюллетень SA-CORE-2026-014 описывает ветки начиная с 8.9.0. Drupal 7 официально снят с поддержки и сопровождается только коммерческими LTS-провайдерами — уточняйте у своего поставщика.

Есть ли уже атаки? На 17 октября публичных эксплойтов и подтверждённых атак не было, но Drupal ожидает их быстрого появления — ждать сигналов об эксплуатации не стоит.

Источники

• Drupal Security Team — SA-CORE-2026-014: Drupal core — Critical — Remote code execution, 14 октября 2026 (первоисточник).
• Drupal Security Team — SA-CONTRIB-2026-218: Entity List — Critical — Remote code execution, 14 октября 2026.
• BleepingComputer — Drupal patches critical RCE flaws, warns exploits may emerge soon, 17 октября 2026.
• The Hacker News — Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules, октябрь 2026.