Drupal corregge una RCE critica in Field UI raggiungibile senza login tramite add-on

Il 14 ottobre 2026 Drupal ha rilasciato aggiornamenti di sicurezza per una vulnerabilità critica di esecuzione di codice remoto nel modulo core Field UI. La falla, identificata come CVE-2026-108097, ha ricevuto da Drupal un punteggio di rischio di 19 su 25.

Il core, da solo, non offre una via per raggiungere il comportamento vulnerabile. Tuttavia, secondo il resoconto di The Hacker News sull’avviso del Drupal Security Team, esistono diversi percorsi di sfruttamento attraverso moduli contributed non nominati, incluso almeno uno che non richiede il login. Anche il codice personalizzato può esporre la falla.

Al 15 ottobre 2026 non era emerso alcun exploit pubblico né attacchi segnalati che usassero CVE-2026-108097. Drupal aveva annunciato in anticipo la release di sicurezza il 12 ottobre, avvertendo gli amministratori di riservare del tempo per l’aggiornamento, perché lo sviluppo di exploit poteva seguire nel giro di ore o giorni.

Quali release di Drupal richiedono attenzione

La vulnerabilità è corretta nelle seguenti release:

I siti che usano il profilo di installazione Standard di Drupal includono Field UI, a meno che gli amministratori non l’abbiano rimosso.

I dati sulle versioni dichiarate mostrano la potenziale esposizione dei rami meno recenti, ma non rappresentano ogni installazione di Drupal. Nella settimana che inizia il 4 ottobre 2026, 151.442 siti su 531.499 che hanno inviato la versione del core a drupal.org (il 28,5%) usavano rami descritti come vulnerabili e non più coperti da correzioni.

Come la callback è sfuggita alle protezioni di rendering di Drupal

Field UI fornisce le pagine amministrative usate per configurare i campi e controllarne la visualizzazione. Costruisce tabelle come array di rendering, che Drupal trasforma successivamente in HTML.

Prima della patch, il pre-render process della tabella accettava il callable PHP memorizzato nella proprietà #region_callback di ogni riga e lo invocava tramite call_user_func_array. Il codice non verificava prima che il callable fosse sicuro.

Il renderer di Drupal blocca le callback di rendering non attendibili dalla versione 8.8. Questa protezione non copriva il percorso di esecuzione indiretto: il renderer considerava attendibile il metodo di pre-render dell’elemento tabella, mentre il callable selezionato successivamente da #region_callback non era sottoposto alla stessa validazione.

Se un modulo contributed o un’implementazione personalizzata permette a dati controllati da un attaccante di raggiungere quella proprietà, il risultato può essere l’esecuzione arbitraria di codice PHP. La chiamata vulnerabile era presente almeno dalla versione 8.9.0 di Drupal.

In Drupal 11.4.10, il codice della tabella non esegue più la callback della riga. Ottiene invece la regione direttamente dal valore della regione nella riga. Un valore non riconosciuto viene sostituito con la regione nascosta della tabella o, se non disponibile, con la sua prima regione.

Il cambiamento ha anche una conseguenza di compatibilità. Il codice personalizzato che assegna #region_callback alle righe di una field_ui_table non vedrà più quelle callback eseguite dopo l’aggiornamento. Nel core, i soli componenti che usavano quella proprietà erano i form di visualizzazione di Field UI.

Aggiornare per primi; disabilitare Field UI è una protezione temporanea

Gli amministratori dovrebbero installare la release corretta per il ramo supportato. Se un aggiornamento immediato non è possibile, l’avviso raccomanda di disinstallare il modulo Field UI, identificato come field_ui, mentre il sito viene aggiornato.

Rimuovere il modulo blocca il componente vulnerabile, ma rende anche non disponibili le pagine di amministrazione «manage fields» e «manage display».

Drupal Steward, un set di regole per web application firewall mantenuto dal Security Team, già blocca alcuni vettori di attacco noti. Acquia, Pantheon, Ironstar e Skpr lo gestiscono per i propri clienti. La sua copertura è però incompleta, quindi non sostituisce l’aggiornamento.

Dopo aver applicato l’aggiornamento, chi gestisce codice Drupal personalizzato dovrebbe:

• cercare il codice che imposta #region_callback sulle righe di field_ui_table;
• testare le pagine di amministrazione «manage fields» e «manage display»;
• sostituire eventuali flussi di lavoro che dipendevano dal comportamento, ormai disattivato, delle callback di riga.

Entity List richiede un aggiornamento separato del modulo

Nella stessa finestra di rilascio è incluso CVE-2026-108099, una RCE critica nel modulo contributed Entity List. Le condizioni segnalate includono anche un percorso noto che non richiede autenticazione, e le note di rilascio di Entity List 3.0.10 indicano che la correzione replica la modifica di Field UI.

Aggiornare il core di Drupal non aggiorna Entity List. I siti che usano quel modulo devono aggiornarlo separatamente alla versione 3.0.10. Nella settimana che inizia il 4 ottobre 2026, 90 siti hanno dichiarato di usare il modulo.

Le release del core corrette affrontano anche due falle di cross-site scripting di gravità moderata: CVE-2026-108515 nel modulo Link e CVE-2026-108514 nel modulo Navigation. Entrambe richiedono almeno un utente con accesso effettuato.

Drupal 7 è giunto a fine vita il drupal.org e non risulta una correzione ufficiale nel core. Pantheon afferma che il suo servizio di supporto a lungo termine con Tag1 Consulting ha rilasciato Drupal 7.107 con un backport della correzione. Chi usa quel servizio dovrebbe installare la build supportata fornita tramite lo stesso.