В ядре Drupal нашлась уязвимость компонента Field UI. Она позволяет злоумышленнику, действующему по сети, выполнить на сервере произвольный код. Ни учетная запись, ни действия пользователя не требуются. Вендор оценил угрозу в 9,8 балла по CVSS 3.1, а рабочий эксплойт уже доступен публично.
Уязвимость CVE-2026-108097 в компоненте Field UI системы Drupal
Field UI - штатный интерфейс ядра Drupal для работы с полями материалов. Администратор описывает через него заголовки, даты, ссылки и изображения. В коде компонента есть ошибка класса CWE-94, которую производитель называет неверным управлением генерацией кода. Смысл в том, что часть данных, приходящих извне, попадает в исполняемую конструкцию без надежной проверки. Как следствие, специально собранный запрос приводит к запуску чужого кода.
В векторе CVSS привилегии не нужны, действия пользователя тоже не учитываются. Значит, обычная защита административных разделов паролем и ролями здесь не помогает. Достаточно сетевого доступа к сайту, а сложность атаки оценивают как низкую.
Оценка 9,8 по CVSS 3.1 говорит о высокой потере конфиденциальности, целостности и доступности. Практически это означает доступ к данным сайта, возможность их менять и влиять на работу ресурса. По устаревшей шкале CVSS 2.0 уязвимость набрала максимальные 10 баллов. Уровень опасности в Банке данных угроз безопасности информации (BDU) ФСТЭК России тоже указан как критический.
Ключевая деталь: эксплойт уже в открытом доступе. BDU фиксирует это отдельной строкой, а ссылки на сторонние репозитории с примерами эксплуатации приложены к записи BDU:2026-17162. Атакующему не нужно разбираться в устройстве Drupal - готовый инструмент уже есть. Поскольку авторизация не требуется, уязвимый сайт может найти любой автоматический сканер.
Для владельца ресурса последствия шире, чем испорченная главная страница. Чужой код на сервере открывает путь к базе данных, к учетным записям пользователей и к закреплению в системе (persistence). Восстановить нормальную работу после такого доступа сложнее, чем поставить обновление.
CMS Drupal применяют для корпоративных порталов, сайтов учреждений и медиа. Field UI входит в ядро, поэтому сторонние расширения здесь ни при чем. Обновление ядра закрывает проблему целиком.
Затронутые версии Drupal
Уязвимость затрагивает четыре ветки. В 10.6 уязвимы сборки с 8.9.0 по 10.6.19, в 11.3 - с 11.0.0 по 11.3.19, в 11.4 - с 11.4.0 по 11.4.10. Предварительные выпуски 12.0.0-alpha1 и 12.0.0-beta2 тоже попадают в список. Диапазон в первой строке начинается с 8.9.0, так что сайты на 9.x остаются под вопросом.
Исправление вышло в сборках новее перечисленных. Номера версий и порядок обновления описаны в рекомендации Drupal SA-CORE-2026-014. Производитель подтвердил уязвимость и отметил, что она устранена. Дату выявления BDU указывает 13 октября 2026 года.
Что делать администраторам
Обновите ядро до актуального выпуска своей ветки. Перед этим проверьте точный номер установленной версии: сайты на 10.6.19, 11.3.19 и 11.4.10 по-прежнему уязвимы. Если обновление откладывается, ограничьте доступ к административным разделам по IP-адресам. Сайтам, которые были открыты из интернета в период между выявлением ошибки и установкой исправления, нужна проверка целостности файлов и списка учетных записей.
Публичный эксплойт и отсутствие авторизации сокращают время между выходом исправления и первыми попытками эксплуатации. Проблема в ядре, а не в стороннем модуле, поэтому обновление затрагивает весь сайт сразу. Администраторам остается держать ядро в актуальном состоянии и просматривать журналы веб-сервера на обращения к Field UI от посторонних адресов.
Ссылки
- https://bdu.fstec.ru/vul/2026-17162
- https://www.cve.org/CVERecord?id=CVE-2026-108097
- https://github.com/FurkanKAYAPINAR/CVE-2026-108097
- https://www.drupal.org/sa-core-2026-014
- https://gist.github.com/pianomansam/be9069f159f167b4b628cd34f6fc329a
- https://tgland.ru/article/drupal-zakryl-kriticheskuyu-uyazvimost-field-ui-kakie-versii-cms-zatronuty
- https://www.tenable.com/cve/CVE-2026-108097
