O núcleo do Drupal tem uma falha crítica no módulo Field UI que pode permitir que um invasor execute código no servidor do site. As correções foram lançadas em 14 de outubro, nas versões Drupal 11.4.10, 11.3.19 e 10.6.19.
Segundo o comunicado da equipe de segurança do Drupal, não é possível explorar a falha usando apenas o núcleo. No entanto, vários módulos contribuídos podem abrir caminhos para o ataque, e pelo menos um deles não exige autenticação.
Identificada como CVE-2026-108097, a falha está no Field UI, módulo do núcleo que fornece as páginas administrativas usadas para gerenciar campos e sua exibição. O Drupal atribuiu a ela nota 19 de 25 em sua própria escala de risco, classificação que o projeto considera crítica.
O comunicado não identifica os módulos contribuídos que podem abrir caminho para a falha, e código personalizado também pode expor o problema. Drew Webber, da equipe de segurança, e Octavio Galland foram creditados pela descoberta e pelo relato da vulnerabilidade.
O que fazer agora
As versões corrigidas para cada ramo com suporte são:
- Drupal 11.4.x: atualizar para a versão 11.4.10
- Drupal 11.3.x: atualizar para a versão 11.3.19
- Drupal 10.6.x: atualizar para a versão 10.6.19
- Drupal 12.0.0 beta: atualizar para a versão 12.0.0-beta2, que não deve ser usada em ambientes de produção
- Sem correção: Drupal 11.2.x e anteriores, 10.5.x e anteriores, além do Drupal 8 e 9, que chegaram ao fim do suporte
Os ramos 11.3.x e 10.6.x perderão a cobertura de segurança em dezembro de 2026.
Na semana iniciada em 4 de outubro, 151.442 dos 531.499 sites que informaram ao drupal.org a versão do núcleo que utilizam, ou 28,5%, estavam em um ramo considerado afetado pelo comunicado e sem correção disponível.
Se ainda não for possível atualizar, a equipe recomenda desinstalar o módulo Field UI, identificado como `field_ui`. Isso “protegerá os sites enquanto a atualização é feita”, diz o comunicado. Enquanto o módulo estiver desinstalado, as páginas administrativas para gerenciar campos e sua exibição ficarão indisponíveis.
O perfil de instalação Standard do Drupal instala o Field UI por padrão. Portanto, sites criados com esse perfil terão o módulo, a menos que ele tenha sido removido.
O Drupal Steward, serviço de firewall de aplicações web com regras desenvolvidas pela equipe de segurança, já bloqueia alguns vetores de ataque conhecidos relacionados à falha. Acquia, Pantheon, Ironstar e Skpr oferecem o serviço a seus clientes. A proteção não cobre todas as formas possíveis de exploração, e os sites protegidos ainda devem ser atualizados, segundo o comunicado.
Na publicação do alerta, a equipe informou que não havia código de exploração disponível publicamente. Até 15 de outubro, nenhum havia sido divulgado, e nem o comunicado nem relatos públicos mencionavam ataques que explorassem a falha.
A equipe de segurança havia anunciado previamente o lançamento em 12 de outubro e orientado os administradores a reservar tempo para a atualização, “pois exploits poderiam ser desenvolvidos em poucas horas ou dias”.
Em maio, o Drupal relatou tentativas de exploração dois dias após divulgar um alerta sobre uma falha de injeção de SQL no núcleo, que afetava apenas sites com PostgreSQL. A CISA incluiu a vulnerabilidade em seu catálogo de falhas exploradas.
O que mudou na correção
O Field UI cria suas tabelas administrativas a partir de estruturas de renderização, matrizes PHP que o Drupal converte em HTML. Antes da correção, a etapa de pré-renderização do elemento de tabela executava, por meio de `call_user_func_array`, qualquer função PHP indicada na propriedade `#region_callback` de cada linha, sem verificar qual função seria chamada.
Desde a versão 8.8, lançada em 2019, o renderizador do Drupal impede a execução de funções de renderização não confiáveis. A restrição foi introduzida após alertas anteriores mostrarem que o sistema de renderização podia chamar funções arbitrárias com facilidade excessiva. Como o renderizador confia nos próprios métodos do elemento de tabela, ele executava a etapa de pré-renderização, e a verificação não chegava à função chamada em seguida por essa etapa.
O código da versão 11.4.10 deixa de chamar essa função. Em vez disso, lê a região de cada linha a partir do valor definido na própria linha e usa a região oculta da tabela, ou sua primeira região, quando o valor não corresponde a uma região conhecida. A mesma chamada estava presente no código desde, pelo menos, o Drupal 8.9.0, lançado em 2020.
No próprio núcleo, a função era definida apenas pelos formulários de exibição do Field UI. Código personalizado que definia `#region_callback` em uma linha de `field_ui_table` deixará de ser executado após a atualização. A Pantheon recomenda verificar esse tipo de código e testar as páginas de gerenciamento de campos e de exibição depois de atualizar.
Separadamente, o módulo Entity List recebeu um alerta próprio de execução remota de código, classificado como crítico e identificado como CVE-2026-108099. As condições são as mesmas, incluindo um caminho conhecido que não exige autenticação. A nota de lançamento da versão 3.0.10 informa que a correção reproduz a mudança feita no Field UI. A atualização do núcleo não atualiza o módulo. Na semana iniciada em 4 de outubro, 90 sites informaram que o utilizavam.
As mesmas versões do núcleo também corrigem duas falhas de XSS de gravidade moderadamente crítica, nos módulos Link (CVE-2026-108515) e Navigation (CVE-2026-108514). Ambas exigem que o invasor esteja autenticado.
O Drupal 7 chegou ao fim do suporte no drupal.org em janeiro de 2025. A Pantheon, porém, informa que o programa de suporte de longo prazo ao Drupal 7, oferecido em parceria com a Tag1 Consulting, lançou a versão 7.107 com uma adaptação da correção.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...