☑️ 151 тысяча сайтов Drupal осталась без патча. Критическая дыра грозит захватом серверов

Обычное дополнение к Drupal способно превратить ошибку ядра в путь к удаленному запуску кода без входа в систему. Команда проекта 14 октября закрыла критическую уязвимость в Field UI, которая становится опасной в сочетании с дополнительными модулями или собственным кодом сайта.

Для одного из известных путей атаки учетная запись не требуется.

Проблема получила идентификатор CVE-2026-108097 и оценку 9,8 балла по CVSS 3.1. По собственной шкале Drupal риск составляет 19 из 25 и относится к критическому уровню.

Команда Drupal подтвердила, что уязвимость находится в штатном модуле Field UI, через который администраторы управляют полями контента и их отображением на страницах.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe