Drupal закрыл критическую уязвимость Field UI — какие версии CMS затронуты

14 октября 2026 года Drupal выпустил обновления безопасности для трёх поддерживаемых веток CMS. Самая опасная из исправленных проблем, CVE-2026-108097, при определённом сочетании модулей открывала путь к удалённому выполнению кода на сервере; одновременно разработчики устранили две XSS-уязвимости в Link и Navigation. Разбираемся, какие конфигурации находятся под угрозой и чем новые версии отличаются от предыдущих.

Уязвимость Field UI открывала путь к выполнению кода на сервере

Команда безопасности Drupal оценила CVE-2026-108097 как критическую — 19 баллов из 25 по собственной шкале риска. Проблема находится в модуле Field UI, который входит в ядро Drupal и используется для управления полями содержимого через административный интерфейс.

Удалённое выполнение кода (Remote Code Execution, RCE) — ситуация, при которой злоумышленник получает возможность запускать команды или программный код на сервере, где размещён сайт. Последствия зависят от полномочий процесса и конфигурации сервера, поэтому наличие такой уязвимости требует особого внимания.

Здесь есть существенная техническая деталь. Согласно официальному бюллетеню SA-CORE-2026-014, уязвимость нельзя напрямую использовать средствами одного только ядра Drupal. Опасные сценарии возникают при взаимодействии с дополнительными модулями, которые устанавливают владельцы сайтов, а также потенциально с собственным кодом проекта. Команде Drupal известны несколько путей эксплуатации, причём как минимум один из них не требует авторизации.

Именно поэтому два сайта с одинаковой версией ядра могут иметь разный фактический уровень риска. Он зависит от набора установленных расширений и их взаимодействия с Field UI. При этом номер уязвимой версии остаётся основанием для обновления независимо от того, удалось ли подтвердить конкретный путь атаки на отдельном сайте.

Drupal Steward закрывает лишь часть сценариев эксплуатации

В официальном уведомлении упомянута система Drupal Steward — сервис дополнительной защиты от известных способов атак. Для CVE-2026-108097 он уже блокирует часть путей эксплуатации, но разработчики прямо предупреждают: покрытие не является полным. Могут существовать и другие способы использовать уязвимую функциональность.

В качестве временной меры команда Drupal указывает удаление модуля field_ui, пока сайт не обновлён. Это адресное ограничение касается именно критической проблемы Field UI и может затронуть возможности управления полями через интерфейс. Исправления в новых версиях ядра устраняют саму уязвимость, поэтому временные меры и обновление решают разные задачи.

В том же выпуске команда Drupal закрыла две проблемы межсайтового выполнения сценариев (XSS). При XSS определённым образом подготовленные данные могут привести к выполнению нежелательного JavaScript-кода в браузере человека, открывшего страницу. Обе ошибки связаны с недостаточной очисткой входных данных, но условия их эксплуатации различаются.

CVE-2026-108515 — модуль Link. Этот модуль предоставляет тип поля для внутренних и внешних ссылок. В некоторых ситуациях Drupal недостаточно тщательно обрабатывал разметку, что могло привести к XSS. Уязвимость получила 13 из 25 баллов и отражена в бюллетене SA-CORE-2026-015.

CVE-2026-108514 — модуль Navigation. Здесь проблема касается обработки некоторых HTML-атрибутов. Для эксплуатации атакующему требуется роль с правом добавлять HTML-теги с определёнными атрибутами данных либо разрешение administer menu. Команда Drupal оценила риск в 12 из 25 баллов; идентификатор бюллетеня — SA-CORE-2026-016.

Различие существенно для оценки затронутых сайтов: в случае Navigation официальный бюллетень отдельно называет необходимые права доступа. Для Link такого же условия в кратком описании не приводится. Универсального вывода о доступности XSS каждому посетителю из этих сообщений сделать нельзя.

Drupal 11.4.10, 11.3.19 и 10.6.19 устраняют все три проблемы

14 октября разработчики опубликовали исправления для поддерживаемых стабильных веток Drupal. Каждая из трёх версий закрывает критическую RCE-уязвимость и обе XSS-проблемы.

Ветка Drupal	Версия с исправлениями	Поддержка безопасности
11.4.x	11.4.10	До июня 2027 года
11.3.x	11.3.19	До декабря 2026 года
10.6.x	10.6.19	До декабря 2026 года

Для Drupal 11.2.x и более ранних веток Drupal 11, а также Drupal 10.5.x и более ранних веток Drupal 10 исправления в рамках завершивших поддержку серий не выпускаются. Drupal 8 и Drupal 9 также давно находятся вне периода поддержки безопасности.

Предыдущий релиз Drupal 11.4.9 от 9 октября был посвящён обычным исправлениям и улучшениям интерфейса. Пакет 11.4.10 от 14 октября устраняет именно объявленные уязвимости: в его описании прямо сказано, что других исправлений нет. Поэтому даже недавно обновлённый до 11.4.9 сайт остаётся в диапазоне затронутых версий.

У веток 11.3.19 и 10.6.19 есть дополнительное изменение: в них обновлён CKEditor до сборки 47.6.3-drupal.1 для устранения ошибки, появившейся после предыдущего исправления безопасности SA-CORE-2026-013. Об этом отдельно сообщается в официальных заметках к релизам.

Как обновляется ядро Drupal в проектах с Composer

На страницах выпусков команда Drupal приводит команду для обновления пакетов ядра и связанных зависимостей через Composer:

composer update "drupal/core-*" --with-all-dependencies

Команда работает в рамках ограничений, заданных в composer.json; итоговая версия зависит от конфигурации проекта. На странице Drupal 11.4.10 опубликована и отдельная команда, позволяющая установить именно этот выпуск:

composer require drupal/core-recommended:11.4.10 drupal/core-composer-scaffold:11.4.10 drupal/core-project-message:11.4.10 --update-with-all-dependencies

Такое закрепление точной версии помогает получить конкретный пакет исправлений, но сам Drupal предупреждает, что фиксированные номера могут усложнить будущие обновления. Для разных веток требуются соответствующие номера исправленных выпусков. Процедура установки и дальнейших действий зависит от устройства конкретного сайта и его системы управления зависимостями.

Почему октябрьский выпуск Drupal заметно меняет картину безопасности

До 14 октября владельцы сайтов могли использовать последние на тот момент исправительные версии своих веток, включая Drupal 11.4.9. После публикации SA-CORE-2026-014, SA-CORE-2026-015 и SA-CORE-2026-016 эти версии официально относятся к затронутым уязвимостями.

В случае Field UI разработчики подтвердили существование нескольких опасных сочетаний с дополнительными модулями и как минимум одного пути атаки без входа в систему. Для двух XSS-проблем опубликованы отдельные условия и оценки риска. Публичные бюллетени описывают технические причины и исправления, но не содержат статистики фактически скомпрометированных сайтов. Реальный масштаб эксплуатации из этих данных определить невозможно.