Drupal schließt kritische RCE-Lücke in Field UI, die über Erweiterungen ohne Anmeldung erreichbar ist

Drupal hat am 14. Oktober 2026 Sicherheitsupdates für eine kritische Schwachstelle zur Remote Code Execution im Core-Modul Field UI veröffentlicht. Die Lücke ist unter CVE-2026-108097 erfasst und erhielt von Drupal eine Risikobewertung von 19 von 25.

Der Core allein bietet keinen Weg zu dem verwundbaren Verhalten. Laut dem Bericht von The Hacker News über die Sicherheitsmitteilung des Drupal Security Team existieren jedoch mehrere Ausnutzungspfade über nicht namentlich genannte Module von Drittanbietern, darunter mindestens einer, der keine Anmeldung voraussetzt. Auch eigener Code kann die Schwachstelle offenlegen.

Stand 15. Oktober 2026 war kein öffentlicher Exploit und kein gemeldeter Angriff mit CVE-2026-108097 aufgetaucht. Drupal hatte das Sicherheitsrelease bereits am 12. Oktober angekündigt und Administratoren gewarnt, sich Zeit für das Update zu nehmen, da die Entwicklung eines Exploits innerhalb von Stunden oder Tagen folgen könnte.

Welche Drupal-Versionen Handlungsbedarf haben

Die Schwachstelle ist in den folgenden Releases behoben:

Websites, die das Standard-Installationsprofil von Drupal verwenden, enthalten Field UI, sofern Administratoren es nicht entfernt haben.

Die Daten zu gemeldeten Versionen zeigen das mögliche Altbestandsrisiko, stellen aber nicht jede Drupal-Installation dar. In der Woche ab dem 4. Oktober 2026 liefen 151.442 von 531.499 Websites, die ihre Core-Version an drupal.org übermittelt hatten – 28,5 % –, in Zweigen, die als betroffen beschrieben werden, aber keinen Fix mehr erhalten.

Wie der Callback die Render-Schutzmechanismen von Drupal umging

Field UI stellt administrative Seiten bereit, mit denen Felder konfiguriert und ihre Darstellung gesteuert wird. Dabei baut das Modul Tabellen als Render-Arrays auf, die Drupal später in HTML umwandelt.

Vor dem Patch nahm der Pre-Render-Prozess der Tabelle den in der Eigenschaft #region_callback jeder Zeile gespeicherten PHP-Callable an und rief ihn über call_user_func_array auf. Der Code prüfte vorab nicht, ob der Callable sicher war.

Der Renderer von Drupal blockiert nicht vertrauenswürdige Render-Callbacks seit Version 8.8. Dieser Schutz deckte diesen indirekten Ausführungspfad jedoch nicht ab: Der Renderer vertraute der eigenen Pre-Render-Methode des Tabellenelements, während der anschließend aus #region_callback ausgewählte Callable nicht derselben Validierung unterzogen wurde.

Wenn ein Modul von Drittanbietern oder eine eigene Implementierung es zulässt, dass von Angreifern kontrollierte Daten diese Eigenschaft erreichen, kann das in beliebige PHP-Ausführung münden. Der verwundbare Aufruf war mindestens seit Drupal 8.9.0 vorhanden.

In Drupal 11.4.10 führt der Tabellen-Code den Zeilen-Callback nicht mehr aus. Stattdessen ermittelt er die Region direkt aus dem Regionswert der Zeile. Ein unbekannter Wert wird durch die versteckte Region der Tabelle ersetzt oder, falls diese nicht verfügbar ist, durch die erste Region.

Diese Änderung hat auch eine Folge für die Kompatibilität: Eigener Code, der #region_callback Zeilen in einer field_ui_table zuweist, sieht diese Callbacks nach dem Update nicht mehr ausgeführt. Im Core waren ausschließlich die eigenen Anzeigeformulare von Field UI Komponenten, die diese Eigenschaft verwendeten.

Zuerst aktualisieren: Field UI zu deaktivieren ist nur ein vorübergehender Schutz

Administratoren sollten das korrigierte Release für ihren unterstützten Zweig installieren. Ist ein sofortiges Upgrade nicht möglich, empfiehlt die Sicherheitsmitteilung, das Modul Field UI – erkennbar an field_ui – während des Updates der Website zu deinstallieren.

Das Entfernen des Moduls blockiert die verwundbare Komponente, macht aber auch die Seiten „manage fields“ und „manage display“ nicht mehr verfügbar.

Drupal Steward, ein Regelsatz für eine Web Application Firewall, den das Security Team pflegt, blockiert bereits einige bekannte Angriffsvektoren. Acquia, Pantheon, Ironstar und Skpr betreiben ihn für ihre Kunden. Die Abdeckung ist jedoch unvollständig, daher ersetzt er das Update nicht.

Nach dem Einspielen des Updates sollten Betreiber mit eigenem Drupal-Code Folgendes tun:

• Code suchen, der #region_callback bei Zeilen von field_ui_table setzt.
• Die Seiten „manage fields“ und „manage display“ testen.
• Jeden Workflow ersetzen, der auf das nun deaktivierte Verhalten des Zeilen-Callbacks angewiesen war.

Entity List erfordert ein separates Modul-Update

Im selben Veröffentlichungszeitraum erschien CVE-2026-108099, eine kritische RCE-Lücke im Modul Entity List von Drittanbietern. Die gemeldeten Bedingungen umfassen außerdem einen bekannten Pfad, der keine Authentifizierung erfordert. Laut den Release-Notes von Entity List 3.0.10 entspricht die Korrektur der Änderung an Field UI.

Ein Update des Drupal-Kerns aktualisiert nicht Entity List. Websites, die dieses Modul verwenden, müssen es separat auf 3.0.10 aktualisieren. In der Woche ab dem 4. Oktober 2026 meldeten 90 Websites, dieses Modul zu verwenden.

Die gepatchten Core-Releases beheben außerdem zwei mäßig kritische Cross-Site-Scripting-Schwachstellen: CVE-2026-108515 im Modul Link und CVE-2026-108514 im Modul Navigation. Beide setzen mindestens einen angemeldeten Benutzer voraus.

Drupal 7 ist seit drupal.org End-of-Life, und für die Version ist kein offizieller Core-Fix gelistet. Pantheon erklärt, sein Langzeit-Supportdienst mit Tag1 Consulting habe Drupal 7.107 mit einem Backport der Korrektur veröffentlicht. Betreiber, die sich auf diesen Dienst verlassen, sollten den darüber bereitgestellten unterstützten Build verwenden.