کمیته رکن چهارم– تیم امنیتی Drupal دو نقص بحرانی را برطرف کرده است که در ترکیب با برخی افزونه‌ها یا کد اختصاصی سایت، می‌توانند اجرای کد دلخواه روی سرور را ممکن کنند. مدیران سایت باید اصلاحیه متناسب با نسخه خود را نصب کنند.
به گزارش کمیته رکن چهارم، هشدارهای ۱۴ اکتبر ۲۰۲۶ شامل CVE-2026-108097 در ماژول Field UI هسته Drupal و CVE-2026-108099 در افزونه Entity List هستند. Drupal سامانه‌ای برای ساخت و مدیریت وب‌سایت است.
طبق توضیح رسمی، وجود هسته یا افزونه آسیب‌پذیر به‌تنهایی برای بهره‌برداری مستقیم کافی نیست؛ اما افزونه‌های دیگر یا کد اختصاصی می‌توانند مسیر حمله را ایجاد کنند. دست‌کم یک مسیر شناخته‌شده به ورود مهاجم به حساب نیاز ندارد.
بهره‌برداری موفق می‌تواند به اجرای کد روی سرور و به خطر افتادن اطلاعات و عملکرد سایت منجر شود. هشدار درباره امکان ساخت سریع ابزار حمله، به معنای تأیید حمله فعال به این دو نقص نیست.
راهکار رسمی، ارتقای هسته به ۱۰.۶.۱۹، ۱۱.۳.۱۹ یا ۱۱.۴.۱۰ متناسب با شاخه نصب‌شده و ارتقای Entity List به ۳.۰.۱۰ است. نسخه‌های خارج از پشتیبانی نیز باید به شاخه پشتیبانی‌شده منتقل شوند.
برای کاهش موقت خطر نقص هسته، تیم Drupal حذف نصب ماژول Field UI را پیشنهاد کرده است. محافظت Drupal Steward همه مسیرهای احتمالی حمله را پوشش نمی‌دهد و جایگزین ارتقا نیست.
منبع: BleepingComputer
