Drupal: două breșe critice permit preluarea site-urilor. Administratorii trebuie să actualizeze urgent

Drupal, unul dintre cele mai folosite sisteme de administrare a site-urilor, a publicat actualizări pentru două vulnerabilități critice de tip „remote code execution”. Prin ele, un atacator poate rula propriul cod pe serverul unui site și poate prelua controlul asupra lui. Drupal este folosit de multe site-uri de presă, universități și instituții publice, inclusiv în Republica Moldova și în România.

Potrivit avizului oficial SA-CORE-2026-014, publicat pe 14 octombrie, prima breșă (CVE-2026-108097) se află în modulul Field UI din nucleul Drupal și are gravitatea „critică”, cu scorul 19 din 25. Breșa nu poate fi folosită doar prin nucleul Drupal. Există însă mai multe căi de atac prin module suplimentare, iar cel puțin una nu cere autentificare. Și codul scris la comandă pentru un site poate deschide aceeași cale.

A doua breșă (CVE-2026-108099) afectează modulul Entity List, folosit pentru liste de conținut, și are cel puțin o cale de atac fără autentificare. Echipa de securitate Drupal a avertizat, potrivit BleepingComputer, că atacurile care folosesc aceste breșe pot apărea în câteva ore sau zile de la publicare.

Ce versiuni trebuie instalate

Drupal 11.2.x, 10.5.x și versiunile mai vechi, inclusiv Drupal 8 și 9, nu mai primesc actualizări de securitate. Site-urile care rulează pe ele trebuie trecute pe o versiune suportată.

Ce trebuie să facă proprietarii de site-uri

Dacă ai un site pe Drupal, dar nu îl administrezi tu, întreabă firma sau programatorul care îl întreține dacă actualizarea a fost instalată. Pentru administratori, pașii sunt:

1. verifică versiunea Drupal din panoul de administrare (secțiunea „Raport de stare”);
2. instalează versiunea reparată din ramura ta și actualizează modulul Entity List, dacă îl folosești;
3. verifică jurnalele serverului pentru activitate neobișnuită din ultimele zile.

Un site compromis poate fi folosit pentru a răspândi programe malițioase sau pentru pagini de phishing, așa că actualizarea nu ar trebui amânată.