Drupal-prosjektet publiserte 14. oktober en kritisk sikkerhetsadvarsel om en sårbarhet som kan åpne for fjernkjøring av kode på berørte nettsteder. Feilen, registrert som CVE-2026-108097, ligger i Field UI-modulen i Drupal core. Sikkerhetsteamet vurderer alvorlighetsgraden til 19 av 25 og anbefaler at administratorer oppdaterer til en rettet versjon så snart som mulig.
Dette er kjent om Drupal-sårbarheten
Sårbarheten er knyttet til Field UI, en del av Drupals kjerne. Ifølge den offisielle sikkerhetsmeldingen er ikke Drupal core alene direkte utnyttbar gjennom feilen, men kombinasjoner med enkelte tilleggsmoduler kan skape flere alvorlige angrepsveier. Minst én kjent angrepsvei krever ikke autentisering. Egendefinert kode kan også eksponere den sårbare funksjonaliteten.
Drupal har ikke opplyst i sikkerhetsmeldingen at sårbarheten blir aktivt utnyttet i angrep. Det er derfor viktig å skille mellom den dokumenterte risikoen og eventuell bekreftet utnyttelse.
Hvilke Drupal-versjoner er berørt?
Drupal-prosjektet oppgir følgende berørte versjonsserier:
- Drupal 11.4.x før 11.4.10
- Drupal 11.3.x før 11.3.19
- Drupal 10.6.x før 10.6.19
- Drupal 12.0.0-alpha1 til og med beta1
- Eldre Drupal-versjoner er også berørt, men flere av disse er ute av sikkerhetsstøtte.
Drupal 11.2.x og eldre, Drupal 10.5.x og eldre samt Drupal 8 og 9 er oppført som versjoner uten ordinær sikkerhetsdekning. Nettsteder som fortsatt bruker disse versjonene, bør planlegge oppgradering til en støttet utgave fremfor å regne med at en sikkerhetsoppdatering blir tilgjengelig.
Slik bør administratorer håndtere feilen
Administratorer bør først kontrollere hvilken Drupal-versjon nettstedet kjører, og deretter installere den nyeste rettede utgaven for sin versjonsserie:
- Drupal 11.4: oppdater til 11.4.10 eller nyere.
- Drupal 11.3: oppdater til 11.3.19 eller nyere.
- Drupal 10.6: oppdater til 10.6.19 eller nyere.
- Drupal 12: kontroller sikkerhetsmeldingen og bruk en rettet beta-versjon dersom nettstedet er på en forhåndsutgave.
Hvis oppdatering ikke kan gjennomføres umiddelbart, oppgir Drupal-teamet at avinstallering av Field UI-modulen (field_ui) kan redusere risikoen mens man forbereder oppdateringen. Dette kan påvirke redigeringsfunksjonalitet, og bør derfor vurderes og testes før det gjøres på et produksjonsnettsted. Midlertidig tiltak erstatter ikke oppdatering.
Ikke glem vedlikehold av eldre nettsteder
Sårbarheten illustrerer hvorfor CMS-installasjoner må holdes oppdatert, også når nettstedet ikke endres ofte. Administratorer bør ha oversikt over både kjerneversjon og tilleggsmoduler, teste sikkerhetsoppdateringer raskt og prioritere nettsteder som er eksponert mot internett. Installasjoner uten sikkerhetsstøtte innebærer en ekstra risiko fordi nye feil ikke nødvendigvis blir rettet.
