پلتفرم Drupal وصله‌های امنیتی جدیدی را برای رفع پنج آسیب‌پذیری منتشر کرده است که شامل دو باگ با سطح اهمیت بحرانی (Critical) است. این دو آسیب‌پذیری امکان اجرای کد از راه دور (Remote Code Execution یا RCE) را برای مهاجمان فراهم می‌کنند.
جزئیات آسیب‌پذیری‌های RCE
اولین آسیب‌پذیری در ماژول Entity List قرار دارد که با شناسه CVE-2026-108099 ردیابی می‌شود. اگرچه این باگ به تنهایی قابل اکسپلویت نیست، اما با استفاده از سایر ماژول‌های توسعه‌یافته (Contributed Modules)، مسیرهای حمله ایجاد می‌شود. نکته مهم این است که حداقل یک مسیر اکسپلویت شناخته شده، نیازی به احراز هویت (Authentication) ندارد.
دومین آسیب‌پذیری بر ماژول Field UI در هسته Drupal تأثیر می‌گذارد (CVE-2026-108097). این مورد نیز مشابه قبلی، به تنهایی قابل اکسپلویت نیست اما ماژول‌های جانبی مسیرهای جدی برای حمله فراهم می‌کنند؛ از جمله یک مسیر که نیازی به احراز هویت ندارد. به عنوان یک راهکار موقت (Mitigation)، کاربران می‌توانند ماژول هسته Field UI را غیرفعال (Uninstall) کنند.
آسیب‌پذیری‌های XSS و سایر موارد
آپدیت‌های جدید همچنین حفره‌های Cross-Site Scripting (XSS) را در ماژول‌های زیر برطرف کرده‌اند:
- ماژول Link در هسته Drupal (شناسه CVE-2026-108515)
- ماژول Navigation (شناسه CVE-2026-108514)
علاوه بر این، اصلاحاتی برای یک نقص امنیتی در تم مدیریتی Gin که منجر به حملات XSS می‌شد، ارائه شده است (نسخه‌های 5.0.16 و 4.1.4).
اقدامات لازم و فوریت
با توجه به اینکه Drupal هشدار داده است که اکسپلویت‌ها ممکن است ظرف چند ساعت یا چند روز آینده توسعه یابند، به‌روزرسانی فوری توصیه می‌شود. کاربران باید به نسخه‌های زیر مهاجرت کنند:
- Entity List: نسخه 3.0.10
- Drupal Core: نسخه‌های 11.4.10، 11.3.19 یا 10.6.19
توجه: نسخه‌های قدیمی‌تر Drupal به پایان عمر (End-of-Life) رسیده‌اند و دیگر دریافت‌کننده آپدیت‌های امنیتی نیستند.
