Drupal waarschuwt voor kritieke RCE-lekken waardoor sites zijn over te nemen

[Captain Kirk]

De makers van het contentmanagementsysteem Drupal waarschuwen voor twee kritieke kwetsbaarheden die remote code execution mogelijk maken, waardoor aanvallers kwetsbare websites kunnen overnemen. De problemen zijn in alle ondersteunde versies van Drupal aanwezig. Er zijn updates uitgebracht om de beveiligingslekken te verhelpen. Drupal roept webmasters en beheerders op om de patches zo snel mogelijk te installeren, omdat exploits voor de problemen binnen uren of dagen kunnen verschijnen.

De eerste kwetsbaarheid (CVE-2026-108097) is aanwezig in de Field UI module van Drupal core. De kwetsbaarheid is niet direct te misbruiken binnen Drupal core, maar de ontwikkelaars waarschuwen dat er meerdere exploitmogelijkheden in combinatie met andere modules zijn. Daarnaast is het beveiligingslek door ongeauthenticeerde aanvallers te misbruiken.

De tweede kwetsbaarheid CVE-2026-108099 raakt de Entity List module. Wederom is het probleem niet direct te misbruiken binnen Drupal core, maar wel in combinatie met andere modules. Beheerders worden opgeroepen om naar de laatste versies van Drupal 10 of 11l te updaten. Tevens laten de ontwikkelaars weten dat Drupal 8 en 9 end-of-life zijn.

 

bron: https://www.security.nl