CVE-2026-108097 en CVE-2026-108099: kwetsbaarheden in Drupal
Voor Drupal core en de aanvullende module Entity List zijn kritieke beveiligingsupdates uitgebracht. We hebben de Drupal-installaties op ons platform nagelopen en alle gebruikers met een kwetsbare installatie geïnformeerd.
Aanleiding
Beide kwetsbaarheden kunnen in combinatie met andere modules of maatwerk leiden tot uitvoering van kwaadaardige code op afstand. Voor ten minste één bekende aanvalsmethode is geen login nodig. Drupal beoordeelt beide kwetsbaarheden als kritiek.
Technische details
CVE-2026-108097 bevindt zich in Field UI (field_ui), een module binnen Drupal core voor het beheren van velden. De kwetsbare functionaliteit kan via aanvullende modules of maatwerk bereikbaar worden voor aanvallers.
CVE-2026-108099 betreft Entity List (entity_list), waarmee lijsten van Drupal-entiteiten kunnen worden gemaakt. Ook hier kunnen andere modules of maatwerk een route bieden om kwaadaardige code uit te voeren.
De advisories noemen de volgende kwetsbare versies en beveiligingsupdates.
| Onderdeel | Kwetsbare versies | Bijwerken naar |
|---|---|---|
| Drupal core 8.9, 9 en 10 | Vanaf 8.9.0 tot vóór 10.6.19 | Een ondersteunde release, minimaal 10.6.19 |
| Drupal core 11.0 t/m 11.3 | Lager dan 11.3.19 | 11.3.19 of een nieuwere, bijgewerkte reeks |
| Drupal core 11.4 | Lager dan 11.4.10 | 11.4.10 of nieuwer |
| Drupal core 12-testversies | Vanaf 12.0.0-alpha1 tot vóór 12.0.0-beta2 | 12.0.0-beta2 of nieuwer |
| Entity List | Lager dan 3.0.10 | 3.0.10 of nieuwer |
Moet je iets doen?
Ja, als je een kwetsbare installatie gebruikt. Werk Drupal core en, indien aanwezig, Entity List zo snel mogelijk bij.
Voor de core-kwetsbaarheid kun je Field UI tijdelijk deïnstalleren totdat de update is uitgevoerd. Deze maatregel verhelpt de kwetsbaarheid in Entity List niet; die module moet afzonderlijk worden bijgewerkt.Wat hebben we gedaan?
Wat hebben we gedaan?
We hebben Drupal-installaties op ons platform gecontroleerd en alle gebruikers met een kwetsbare installatie geïnformeerd. In die melding vragen we om de benodigde applicatie-updates uit te voeren of door de Drupal-beheerder te laten uitvoeren.