Aktualizované: Drupal opravil dve kritické RCE chyby vrátane modulu Entity List
Drupal popri chybe CVE-2026-108097 vo Field UI opravil aj samostatnú kritickú RCE zraniteľnosť CVE-2026-108099 v module Entity List. Dotknuté weby majú modul aktualizovať na verziu 3.0.10.
Drupal Entity List RCE je kritická zraniteľnosť CVE-2026-108099 v prispievanom module Entity List. Drupal pre ňu 14. októbra 2026 vydal advisory SA-CONTRIB-2026-218. Oprava je dostupná vo verzii Entity List 3.0.10.
Nové upozornenie rozširuje pôvodnú bezpečnostnú udalosť, ktorá sa týkala kritickej chyby CVE-2026-108097 vo Field UI. V rovnakom vydaní tak Drupal riešil dve samostatné zraniteľnosti vzdialeného spustenia kódu, teda RCE.
Drupal Entity List RCE: koho sa týka oprava
Zasiahnuté sú verzie modulu Entity List staršie než 3.0.10. Správcovia webov, ktoré tento prispievaný modul používajú, majú nasadiť verziu 3.0.10 samostatne popri aktualizácii jadra Drupalu.
Samotný modul Entity List podľa Drupalu nestačí na priame zneužitie chyby. Závažné scenáre však môžu vznikať pri kombinácii s ďalšími prispievanými modulmi alebo vlastným kódom. Advisory uvádza, že aspoň jedna známa cesta nevyžaduje prihlásenie používateľa.
Drupal nekonkretizoval moduly ani úpravy kódu, ktoré takéto kombinácie vytvárajú. Správcovia preto nemajú vychádzať z predpokladu, že samotná inštalácia Entity List bez ďalšieho posúdenia vylučuje riziko.
Popri Entity List treba riešiť aj Field UI
CVE-2026-108099 je oddelený problém od CVE-2026-108097 vo Field UI. Pre chybu vo Field UI sú opravnými vydaniami jadra Drupal 10.6.19, 11.3.19 a 11.4.10 podľa používanej vetvy. Ako dočasné zmiernenie Drupal uvádza odinštalovanie modulu field_ui.
Pri CVE-2026-108099 takýmto opatrením nie je aktualizácia jadra nahradená: dotknutý modul Entity List treba aktualizovať na verziu 3.0.10.
Nie je potvrdené aktívne zneužívanie
V dostupných overených informáciách nie je potvrdené aktívne zneužívanie ani CVE-2026-108097, ani CVE-2026-108099 v reálnych útokoch. Drupal pred vydaním opráv upozornil, že exploity pre chybu v jadre by mohli vzniknúť v priebehu hodín alebo dní po zverejnení. Išlo však o prognózu, nie o potvrdenie existencie verejného exploitu.
Ďalšie informácie môžu priniesť prípadné zverejnenie konkrétnych modulov alebo konfigurácií, ktoré umožňujú zneužitie Entity List, a oznámenia o verejne dostupných exploitoch či aktívnom zneužívaní. Bezprostredným krokom pre správcov je overiť verziu jadra aj prítomnosť modulu Entity List a nasadiť dostupné opravy.
Zdroje
- Drupal.org – SA-CONTRIB-2026-218 – Potvrdzuje CVE-2026-108099, kritické hodnotenie, zasiahnuté verzie Entity List pred 3.0.10, podmienenú neautentifikovanú cestu a opravnú verziu 3.0.10.
- Drupal.org – SA-CORE-2026-014 – Potvrdzuje samostatnú kritickú chybu CVE-2026-108097 vo Field UI, opravné verzie jadra a dočasnú mitigáciu odinštalovaním field_ui.
- Drupal.org – PSA-2026-10-12 – Potvrdzuje, že Drupal pred vydaním upozornil na možnosť vzniku exploitov v hodinách alebo dňoch po zverejnení.
- BleepingComputer – Nezávisle sumarizuje, že vydanie 14. októbra zahŕňalo dve kritické RCE chyby, vrátane Entity List.
Overené a aktualizované: 18. 10. 2026 06:23
