Drupal waarschuwt voor kritieke RCE-lekken waardoor sites zijn over te nemen

In dit artikel:

De Drupal-ontwikkelaars waarschuwen voor twee kritieke kwetsbaarheden waarmee aanvallers mogelijk op afstand code kunnen uitvoeren en kwetsbare websites kunnen overnemen. De problemen, CVE-2026-108097 in de Field UI-module en CVE-2026-108099 in de Entity List-module, zijn aanwezig in alle ondersteunde Drupal-versies. Hoewel de lekken niet rechtstreeks via Drupal core kunnen worden uitgebuit, kunnen combinaties met andere modules wel aanvalsmogelijkheden bieden. Bovendien zijn beide kwetsbaarheden zonder account te misbruiken. Drupal heeft beveiligingsupdates uitgebracht en adviseert webmasters die zo snel mogelijk te installeren, omdat exploits al binnen enkele uren of dagen kunnen verschijnen. Beheerders moeten overstappen op de nieuwste versies van Drupal 10 of 11; Drupal 8 en 9 zijn niet meer ondersteund.