Secondo quanto riportato da BleepingComputer in un articolo di Bill Toulas, il 17 ottobre 2026, il team di sicurezza di Drupal ha segnalato vulnerabilità critiche di esecuzione di codice remoto (RCE) che interessano tutte le versioni supportate della piattaforma. Le falle possono essere sfruttate da utenti autenticati e colpiscono sia il core di Drupal, attraverso il modulo Field UI, sia il modulo contribuito Entity List.
Il bollettino di sicurezza del team di Drupal avverte che l'exploit potrebbe essere sviluppato entro poche ore o giorni. Per questo motivo, gli amministratori sono esortati a riservare tempo per gli aggiornamenti del core, dato che gli exploit potrebbero essere rilasciati prima che gli aggiornamenti siano disponibili.
Dettagli tecnici delle vulnerabilità
Secondo il bollettino di sicurezza di Drupal, le vulnerabilità sono le seguenti:
CVE-2026-108097: Una vulnerabilità RCE nel modulo Field UI, parte del core di Drupal. L'exploit richiede che il modulo sia installato e attivato.
CVE-2026-108099: Una vulnerabilità nel modulo Entity List, che potrebbe permettere a un utente autenticato di eseguire codice arbitrario sul server. Questo problema è correlato alla stessa vulnerabilità del modulo Field UI.
Il team di Drupal sottolinea che tutte le versioni di Drupal precedenti alla 10.6.x, così come tutte le versioni di Drupal 11 precedenti alla 11.3.x, sono obsolete e non più supportate. Le vulnerabilità colpiscono anche le versioni pre-release di Drupal 12 prima di beta2, che non sono destinate all'uso in ambienti di produzione.
Raccomandazioni per gli amministratori
Il team di sicurezza di Drupal consiglia di aggiornare immediatamente il core e i moduli a versioni sicure, che sono state rilasciate prima del 14 ottobre 2026. Le versioni sicure includono:
- Drupal core: 10.6.19, 11.3.19, 11.4.10
- Entity List: 3.0.10
Per gli amministratori che non possono aggiornare immediatamente, la disinstallazione del modulo Field UI è consigliata come misura di mitigazione, anche se solo temporanea.
Cos'è Drupal
Drupal è un sistema di gestione dei contenuti open-source utilizzato da oltre un milione di siti web, soprattutto da agenzie governative, università e organizzazioni non profit.
Il Blue Report 2026 misura le difese tecnica per tecnica attraverso 338 milioni di simulazioni eseguite in ambienti di produzione dei clienti.