צוות Drupal פרסם ב-14 באוקטובר עדכון אבטחה לפגיעות הרצת קוד (CVE-2026-108097) במודול Field UI של הליבה. הליבה לבדה אינה חשופה, אבל כמה מודולים חיצוניים הופכים אותה לניתנת לניצול, ולפחות מסלול אחד אינו דורש התחברות.
| מזהה | CVE-2026-108097 |
| מוצר וגרסאות | Drupal core – גרסאות שקדמו ל-11.4.10, 11.3.19 ו-10.6.19 |
| חומרה | ציון CVSS לא פורסם; Drupal מדרגת 19 מתוך 25 בסקאלה שלה (קריטית) |
| מנוצל בפועל | לא דווח |
| תיקון | 11.4.10, 11.3.19, 10.6.19 |
מה קרה
בשלב ההכנה של טבלאות ב-Field UI הליבה הריצה פונקציית callback שהוגדרה בשורת הטבלה, בלי לאמת אותה. תוקף שמצליח להשפיע על ההגדרה הזו עשוי להריץ קוד. התיקון פשוט מפסיק להריץ את ה-callback. הקוד הפגום קיים לפחות מ-Drupal 8.9.0.
ההודעה אינה מפרטת אילו מודולים חושפים את הפגיעות. במקביל פורסם גם תיקון למודול Entity List (CVE-2026-108099, תיקון בגרסה 3.0.10) עם תנאים דומים; עדכון הליבה אינו מעדכן אותו.
נקודות לשים לב
- עדכן ל-11.4.10, 11.3.19 או 10.6.19. לענפים ישנים יותר לא פורסם תיקון, כך שהמשמעות היא מעבר לענף נתמך.
- אם אי אפשר לעדכן מיד, הסרת המודול
field_uiמספקת הגנה לפי הודעת Drupal, במחיר אובדן מסכי ניהול השדות והתצוגה. - אם יש לך קוד מותאם שמגדיר
#region_callbackבשורותfield_ui_table, הוא יפסיק לעבוד אחרי העדכון. בדוק את מסכי ניהול השדות. - בדוק גם את Entity List אם הוא מותקן אצלך.
- חוקי ה-WAF של Drupal Steward חוסמים רק חלק מהווקטורים, ולכן אינם תחליף לעדכון.
מקורות: Drupal Security Advisory SA-CORE-2026-014 · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
