Το Drupal κυκλοφόρησε ενημερώσεις ασφαλείας για μια κρίσιμη ευπάθεια απομακρυσμένης εκτέλεσης κώδικα που θα μπορούσε να επιτρέψει σε εισβολείς να αναλάβουν τον έλεγχο πληττόμενων ιστοσελίδων χωρίς σύνδεση.
Η ευπάθεια καταγράφεται ως CVE-2026-108097 και επηρεάζει τη μονάδα Field UI στον πυρήνα του συστήματος. Η επίσημη συμβουλευτική ασφαλείας SA-CORE-2026-014 αποδίδει βαθμολογία κινδύνου 19 στα 25. Η επιτυχημένη εκμετάλλευση θα μπορούσε να εκθέσει όλα τα ιδιωτικά δεδομένα και να επιτρέψει την τροποποίηση ή τη διαγραφή πληροφοριών.
Drupal: Η φύση των διαδρομών επίθεσης
Ο πυρήνας του Drupal μόνος του δεν παρέχει άμεσο δρόμο εκμετάλλευσης της ευπάθειας, ωστόσο επιβεβαιώθηκε ότι υπάρχουν σοβαρές διαδρομές επίθεσης όταν είναι εγκατεστημένες πρόσθετες μονάδες.
Τουλάχιστον μία γνωστή διαδρομή δεν απαιτεί καμία πιστοποίηση, γεγονός που σημαίνει ότι ο εισβολέας δεν χρειάζεται έγκυρο λογαριασμό. Οι ιδιοκτήτες ιστοσελίδων θα πρέπει να εξετάσουν τις εγκατεστημένες επεκτάσεις και την προσαρμοσμένη ανάπτυξη αντί να κρίνουν την έκθεση μόνο βάσει της έκδοσης του Drupal.
Επηρεαζόμενες εκδόσεις και μέτρα προστασίας
Οι εκδόσεις που επηρεάζονται περιλαμβάνουν το Drupal από 8.9.0 πριν από 10.6.19, από 11.0.0 πριν από 11.3.19 και από 11.4.0 πριν από 11.4.10, καθώς και τις εκδόσεις ανάπτυξης 12.0.0-alpha1 πριν από 12.0.0-beta2. Οι διαχειριστές καλούνται να εγκαταστήσουν άμεσα τις αντίστοιχες ενημερωμένες εκδόσεις.
Η απεγκατάσταση της μονάδας Field UI προσφέρει προστασία κατά τη διάρκεια της ενημέρωσης, αν και η άμεση εφαρμογή των επίσημων διορθώσεων παραμένει η βασική προτεραιότητα.
