Drupal 修复严重 RCE 漏洞，警告利用代码可能很快出现

Drupal 已修复两个严重漏洞，攻击者可能借此在运行任何受支持版本内容管理系统的网站上远程执行代码。

这些安全问题影响软件核心的 Field UI 模块和贡献模块 Entity List。Drupal 在本周初发布了预先警告，敦促管理员及时应用更新，因为攻击者可能在漏洞披露后不久就开发出利用代码。

"Drupal 安全团队敦促您届时预留核心更新时间，因为利用代码可能在数小时或数天内被开发出来，"该项目的安全团队警告说。

"我们建议在 10 月 14 日之前更新到您的站点 Drupal 版本的最新受支持补丁（缺陷修复）版本，以便您能在安全窗口之前解决任何其他升级问题。"

Drupal 是一个免费的开源内容管理系统，用于构建和管理网站，在政府机构、大学和非营利组织中尤其受欢迎。

根据该项目网站，超过一百万个网站运行在 Drupal 上。

本周早些时候，该开源项目披露了这两个细节，指出"所有当前受支持的 Drupal 核心版本都受到影响"。

• CVE-2026-108097：Drupal 核心 Field UI 模块中的一个远程代码执行漏洞，可能允许攻击者在受影响的服务器上执行任意代码。
• CVE-2026-108099：Entity List（一个用于在不使用 Views 的情况下创建实体列表的贡献模块）中的一个缺陷，可能导致远程代码执行。

CVE-2026-108097 的安全公告指出，该漏洞无法仅使用 Drupal 核心来利用，但贡献模块可以提供多种利用路径，包括至少一个无需身份验证的路径。

此外，自定义代码也可能暴露易受攻击的功能。

成功利用 CVE-2026-108099 需要与贡献模块或自定义代码进行类似的交互，并包括至少一个已知的无需身份验证的利用路径。

敦促管理员根据其发布分支，将 Drupal 核心更新到 10.6.19、11.3.19 或 11.4.10 版本，并将 Entity List 更新到 3.0.10。

"10.6.x 之前的所有 Drupal 版本，以及 11.3.x 之前的所有 Drupal 11 版本，均已生命周期终止，不再受支持，"开发者表示。

这些漏洞还影响 beta2 之前的 Drupal 12 预发布版本，但这些版本不打算用于生产环境。最终的稳定版 12.0 将包含对两个漏洞的修复。

无法升级到安全版本的管理员被建议卸载 Drupal 的核心 Field UI 模块（field_ui）作为有效的缓解措施。

此外，Drupal Steward 可防御一些已知攻击向量，但并不能覆盖所有可能的利用。