O núcleo do Drupal tem uma falha crítica no módulo Field UI que pode permitir a um invasor executar código no servidor do site. As correções foram lançadas em 14 de outubro nas versões Drupal 11.4.10, 11.3.19 e 10.6.19.
Um invasor não consegue explorar a falha apenas pelo núcleo, afirmou a Equipe de Segurança do Drupal em seu alerta. Existem vários caminhos de exploração por meio de módulos contribuídos, e pelo menos um caminho conhecido não exige login.
Identificada como CVE-2026-108097 (sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns), a falha está no Field UI, módulo do núcleo responsável pelas páginas administrativas em que os construtores de sites gerenciam campos e a forma como eles são exibidos. O Drupal classifica a falha com 19 de 25 pontos em sua própria escala de risco, nível que o projeto considera crítico.
O alerta não identifica quais módulos contribuídos abrem caminho para a falha, e códigos personalizados também podem expô-la. Drew Webber, da Equipe de Segurança, e Octavio Galland são creditados pela identificação da vulnerabilidade.
O que fazer agora
A versão corrigida para cada ramo com suporte é:
- Drupal 11.4.x: atualizar para a versão 11.4.10
- Drupal 11.3.x: atualizar para a versão 11.3.19
- Drupal 10.6.x: atualizar para a versão 10.6.19
- Drupal 12.0.0 beta: 12.0.0-beta2, que não é indicada para uso em produção
- Sem correção: Drupal 11.2.x e versões anteriores, Drupal 10.5.x e versões anteriores, e Drupal 8 e 9, todos no fim de vida útil
Os ramos 11.3.x e 10.6.x perdem a cobertura de segurança em dezembro de 2026.
Na semana que começou em 4 de outubro, 151.442 dos 531.499 sites que informaram sua versão do núcleo do Drupal ao drupal.org (28,5%) estavam em um ramo que o alerta lista como afetado e que não recebeu correção.
Um site que ainda não pode ser atualizado pode desinstalar o módulo Field UI, identificado como field_ui. Segundo o alerta, essa medida “fornecerá proteção enquanto os sites forem atualizados”. Com o módulo desinstalado, as páginas administrativas para gerenciar campos e sua exibição ficam indisponíveis.
O Field UI é instalado pelo perfil de instalação Standard do Drupal, então um site criado a partir desse perfil tem o módulo, a menos que alguém o tenha removido.
Drupal Steward, um serviço de firewall de aplicações web (WAF) com regras escritas pela Equipe de Segurança, já bloqueia alguns vetores de ataque conhecidos para essa falha. Acquia, Pantheon, Ironstar e Skpr oferecem o serviço a seus clientes. Ele não cobre todas as explorações possíveis, e esses sites também devem ser atualizados, segundo o alerta.
O alerta classificou a falha como sem código de exploração disponível publicamente no momento da publicação. Até 15 de outubro, nenhum código havia surgido, e nem o alerta nem relatos públicos descreviam ataques que a utilizassem.
A Equipe de Segurança havia anunciado previamente o lançamento para 12 de outubro e pediu que os sites reservassem tempo para a atualização, porque “explorações podem ser desenvolvidas em questão de horas ou dias”.
Em maio, o Drupal relatou tentativas de exploração em até dois dias após o alerta de uma falha de injeção de SQL (linguagem de consulta estruturada) no núcleo, que afetava apenas sites que usavam PostgreSQL. A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) incluiu essa falha em seu catálogo de vulnerabilidades exploradas.
O que a correção mudou
O Field UI monta suas tabelas administrativas a partir de arrays de renderização, as matrizes em PHP que o Drupal converte em HTML. Antes da correção, a etapa de pré-renderização do elemento de tabela executava qualquer função chamável em PHP que cada linha da tabela trouxesse em sua propriedade #region_callback, por meio de call_user_func_array, sem verificar o que era essa função.
O renderizador do Drupal deixa de executar callbacks de renderização não confiáveis desde a versão 8.8, de 2019, restrição adotada após alertas anteriores mostrarem que o sistema de renderização podia chamar callbacks arbitrários com facilidade excessiva. O renderizador confia nos métodos do próprio elemento de tabela, então executou a etapa de pré-renderização, e a verificação nunca chegou à função chamável que essa etapa executava.
O código da versão 11.4.10 não chama mais o callback. Ele lê a região de cada linha a partir do próprio valor de região da linha e usa a região oculta da tabela, ou a primeira região, quando esse valor não corresponde a uma região conhecida. A mesma chamada estava no código desde pelo menos o Drupal 8.9.0, de 2020.
No núcleo, o callback só é definido pelos formulários de exibição do próprio Field UI. Código personalizado que definiu #region_callback em uma linha de field_ui_table constatará que ele não é mais executado após a atualização. A Pantheon orienta os sites a revisarem esse tipo de código e a testarem as páginas de gerenciamento de campos e de exibição após a atualização.
Em separado, o módulo Entity List recebeu seu próprio alerta de execução remota de código crítico, identificado como CVE-2026-108099, com as mesmas condições, incluindo um caminho conhecido que não exige login. A nota de versão 3.0.10 informa que a correção espelha a mudança do Field UI e que atualizar o núcleo não atualiza o módulo. Na semana que começou em 4 de outubro, 90 sites informaram usar o módulo.
As mesmas versões do núcleo também corrigem duas falhas de cross-site scripting (XSS) de severidade moderadamente crítica, no módulo Link (CVE-2026-108515) e no módulo Navigation (CVE-2026-108514). Ambas exigem pelo menos um usuário logado.
O Drupal 7 chegou ao fim de vida útil no drupal.org em janeiro de 2025, mas a Pantheon afirma que seu suporte de longo prazo para o Drupal 7, em parceria com a Tag1 Consulting, lançou o Drupal 7.107 com a correção retroportada.
