دروپال (Drupal) دو آسیب‌پذیری بحرانی را برطرف کرده است که به مهاجمان اجازه می‌داد کد را به‌صورت از راه دور (Remote Code Execution یا RCE) بر روی وب‌سایت‌هایی که از نسخه‌های پشتیبانی‌شده این سیستم مدیریت محتوا (CMS) استفاده می‌کنند، اجرا کنند.
جزئیات فنی و ماژول‌های آسیب‌پذیر
این مشکلات امنیتی ماژول Field UI در هسته نرم‌افزار و ماژول Entity List را تحت تأثیر قرار داده‌اند. تیم امنیتی دروپال در ابتدای هفته هشدار داد که مدیران باید به‌سرعت به‌روزرسانی‌ها را اعمال کنند، زیرا احتمال می‌رود بلافاصله پس از افشای این آسیب‌پذیری‌ها، اکسپلویت‌های (Exploits) مربوط به آن‌ها توسعه یابند.
تیم امنیتی پروژه در بیانیه‌ای هشدار داد: «از شما می‌خواهیم زمانی را برای به‌روزرسانی هسته در نظر بگیرید، زیرا ممکن است اکسپلویت‌ها ظرف چند ساعت یا چند روز توسعه یابند. توصیه می‌کنیم پیش از ۱۴ اکتبر به آخرین نسخه اصلاحیه (Patch) مربوط به نسخه دروپال خود به‌روزرسانی کنید تا هرگونه مشکل احتمالی در ارتقا پیش از بازه زمانی امنیتی برطرف شود.»
تحلیل CVEها و مسیرهای حمله
در مورد آسیب‌پذیری CVE-2026-108097 ذکر شده است که این نقص به‌تنهایی از طریق هسته دروپال قابل بهره‌برداری نیست، اما ماژول‌های جانبی (Contributed Modules) می‌توانند مسیرهای متعددی برای اکسپلویت ایجاد کنند که حداقل یکی از آن‌ها نیازی به احراز هویت (Authentication) ندارد. همچنین، کدهای سفارشی (Custom Code) نیز ممکن است این قابلیت آسیب‌پذیر را در معرض حمله قرار دهند.
بهره‌برداری موفق از CVE-2026-108099 نیز نیازمند تعامل مشابه با ماژول‌های جانبی یا کدهای سفارشی است و شامل حداقل یک مسیر شناخته‌شده برای اکسپلویت است که به احراز هویت نیاز ندارد.
راهکارهای مقابله و به‌روزرسانی
مدیران سیستم‌ها موظف‌اند هسته دروپال را بسته به شاخه انتشار خود به نسخه‌های 10.6.19، 11.3.19 یا 11.4.10 و ماژول Entity List را به نسخه 3.0.10 به‌روزرسانی کنند.
- نسخه‌های منقضی شده: تمامی نسخه‌های دروپال پیش از 10.6.x و نسخه‌های ۱۱ پیش از 11.3.x به پایان عمر (End-of-Life) رسیده‌اند و دیگر پشتیبانی نمی‌شوند.
- نسخه‌های پیش‌انتشار: این نقص‌ها نسخه‌های پیش‌انتشار دروپال ۱۲ (قبل از beta2) را نیز تحت تأثیر قرار داده‌اند، اما این نسخه‌ها برای محیط‌های عملیاتی (Production) توصیه نمی‌شوند.
- اقدام جایگزین: برای مدیرانی که امکان ارتقای فوری ندارند، حذف ماژول Field UI (field_ui) به عنوان یک اقدام کاهش ریسک (Mitigation) موثر توصیه شده است.
