دروپال نقص های مهم RCE را اصلاح می کند، هشدار می دهد که ممکن است به زودی سوء استفاده ها ظاهر شوند

دروپال دو آسیب‌پذیری مهم را اصلاح کرده است که می‌تواند به مهاجمان اجازه دهد تا کد را از راه دور در وب‌سایت‌هایی که هر نسخه پشتیبانی‌شده از سیستم مدیریت محتوا را اجرا می‌کنند، اجرا کنند.

مسائل امنیتی بر ماژول Field UI هسته نرم افزار و ماژول Entity List کمک می کند. دروپال در ابتدای هفته هشدار قبلی صادر کرد و از مدیران خواست فورا به‌روزرسانی‌ها را اعمال کنند، زیرا مهاجمان می‌توانند در مدت کوتاهی پس از افشای آسیب‌پذیری‌ها، اکسپلویت‌هایی را ایجاد کنند.

تیم امنیتی پروژه هشدار داد: «تیم امنیتی دروپال از شما می‌خواهد تا زمانی را برای به‌روزرسانی‌های اصلی در آن زمان رزرو کنید، زیرا ممکن است اکسپلویت‌ها ظرف چند ساعت یا چند روز توسعه یابند».

توصیه می کنیم قبل از 14 اکتبر نسخه دروپال سایت خود را به آخرین وصله پشتیبانی شده (باگ رفع اشکال) به روز رسانی کنید تا بتوانید قبل از پنجره امنیتی به سایر مشکلات ارتقاء بپردازید.

دروپال یک سیستم مدیریت محتوای رایگان و منبع باز است که برای ساخت و مدیریت وب‌سایت‌ها، به ویژه در بین سازمان‌های دولتی، دانشگاه‌ها و سازمان‌های غیرانتفاعی محبوب است.

طبق وب سایت این پروژه، بیش از یک میلیون وب سایت بر روی دروپال اجرا می شوند.

در اوایل این هفته، پروژه منبع باز این دو جزئیات را فاش کرد و خاطرنشان کرد که «همه نسخه‌های هسته دروپال که در حال حاضر پشتیبانی می‌شوند تحت تأثیر قرار گرفته‌اند».

مشاوره امنیتی برای CVE-2026-108097 اشاره می کند که این نقص تنها با استفاده از هسته دروپال قابل سوء استفاده نیست، اما ماژول های ارائه شده می توانند چندین مسیر بهره برداری از جمله حداقل یکی که نیازی به احراز هویت ندارد، ارائه دهند.

علاوه بر این، کد سفارشی نیز ممکن است عملکرد آسیب پذیر را در معرض دید قرار دهد.

بهره برداری موفقیت آمیز از CVE-2026-108099 نیاز به تعامل مشابه با ماژول های ارائه شده یا کد سفارشی دارد و شامل حداقل یک مسیر بهره برداری شناخته شده است که نیازی به احراز هویت ندارد.

از مدیران خواسته می شود بسته به شاخه انتشار خود، هسته دروپال را به نسخه های 10.6.19، 11.3.19 یا 11.4.10 به روز کنند و Entity List را به 3.0.10 به روز کنند.

توسعه دهنده گفت: "همه نسخه های دروپال قبل از 10.6.x، و همچنین تمام نسخه های دروپال 11 قبل از 11.3.x، پایان عمر هستند و دیگر پشتیبانی نمی شوند."

این نقص‌ها همچنین بر پیش‌نسخه‌های دروپال 12 قبل از بتا2 تأثیر می‌گذارد، اما قرار نیست از آنها در محیط‌های تولید استفاده شود. نسخه پایدار نهایی 12.0 شامل رفع هر دو نقص خواهد بود.

به مدیرانی که نمی‌توانند به نسخه ایمن ارتقاء دهند، توصیه می‌شود که ماژول فیلد UI هسته دروپال (field_ui) را به عنوان یک اقدام کاهش موثر حذف نصب کنند.

همچنین، Drupal Steward در برابر برخی از بردارهای حمله شناخته شده محافظت می کند، اما تمام اکسپلویت های ممکن را پوشش نمی دهد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

NCSC هلندی: بهره برداری از نقص های VPN نقطه چک بحرانی قریب الوقوع است

نقص بحرانی BlockStrap به هکرها اجازه می دهد تا کد را روی سرورهای مجنتو اجرا کنند

نقص Ghostscript به هکرها اجازه می دهد تا سرورها را از طریق بارگذاری PDF ربوده کنند

GitLab در مورد حداکثر شدت آسیب پذیری اجرای کد هشدار می دهد

سیسکو در مورد ایرادات مهمی که اجازه تصاحب سوئیچ Nexus را می دهد هشدار می دهد