LONDON (IT BOLTWISE) – Drupal schließt eine kritische Schwachstelle im Field-UI-Modul, die einen Angreifer zur Ausführung von Code auf dem Server nutzen könnte. Die Fixes wurden am 14. Oktober in mehreren Drupal-Versionen ausgeliefert, darunter 11.4.10, 11.3.19 und 10.6.19. Laut Drupal Security Team führt der Angriff nicht über den Core-Module-Mechanismus allein, aber mehrere Wege über zugeschnittene oder eingesetzte Contributed Module sind möglich. Betroffene sollten die betroffenen Branches jetzt aktualisieren oder Field UI vorübergehend deinstallieren, wenn ein Update kurzfristig nicht machbar ist.
Für Betreiber von Drupal-Websites ist das am 14. Oktober veröffentlichte Paket eine Pflichtaktualisierung: Das Drupal Security Team adressiert eine kritische Schwachstelle im Field-UI-Bereich, die als CVE-2026-108097 katalogisiert ist. Das Problem sitzt in Field UI, also im Core-Modul, das die Admin-Seiten für das Verwalten von Feldern und deren Darstellung bereitstellt. Auf der eigenen Risiko-Skala stuft Drupal die Lücke mit 19 von 25 als kritisch ein. Entscheidender Punkt aus Sicht der Angriffsfläche: Eine direkte Ausnutzung ist laut Advisory nicht über Core allein möglich, dennoch existieren mehrere Exploit-Pfade über eingesetzte Contributed Modules; zudem gibt es mindestens einen bekannten Pfad, der keinen Login benötigt.
Technisch erklärt die Sicherheitsanalyse, warum der Renderer hier eine unerwünschte Codeausführung ermöglichen konnte. Field UI baut seine Admin-Tabellen aus Render-Arrays, wobei PHP-Arrays am Ende in HTML umgewandelt werden. Vor dem Fix lief im Pre-Render-Schritt des Tabellen-Elements jede Zeile durch eine in der Eigenschaft #region_callback hinterlegte PHP-Callable – und zwar ohne Prüfung der Zulässigkeit. Der entscheidende Kontext aus der Drupal-Architektur: Der Renderer sollte seit Version 8.8 im Jahr 2019 keine untrusted Render-Callbacks ausführen. Genau dieser Schutz griff jedoch in diesem Pfad nicht, weil der Code nicht über den eigentlich „harten“ Render-Callback-Mechanismus lief, sondern über eine Tabellenmethode, die die Pre-Render-Phase des Elements selbst auslöste.
Mit dem Update ändert Drupal die Stelle so, dass keine Callback-Ausführung mehr stattfindet. Die 11.4.10-Implementierung liest die Region pro Tabellenzeile aus dem Wert der Zeile aus und verwendet stattdessen die im Tabellenelement versteckte Region oder ersatzweise die erste Region, wenn die Zeilenregion nicht als bekannte Region erkannt wird. Laut Advisory ist das problematische Muster in ähnlicher Form seit mindestens Drupal 8.9.0 aus dem Jahr 2020 im Code. Für Custom-Entwicklungen bedeutet das: Wenn eigene Logik in field_ui_table-Zeilen ein #region_callback gesetzt hat, wird diese Callable nach dem Update nicht mehr ausgeführt. Plattformen und Hosting-Anbieter haben deswegen explizit dazu geraten, die Seiten „Manage fields“ und „Manage display“ nach dem Patch zu verifizieren; andernfalls können Layout- oder Darstellungslogiken, die sich auf diese Callback-Schiene stützten, unerwartet ausbleiben.
Auf der Betriebsebene ist der Maßnahmenkatalog vergleichsweise klar, aber zeitkritisch. Für die jeweils unterstützten Branches empfiehlt Drupal, sofort auf die folgenden Versionen zu aktualisieren: 11.4.x auf 11.4.10, 11.3.x auf 11.3.19 und 10.6.x auf 10.6.19. Für Drupal 12.0.0 nennt das Advisory als Fix 12.0.0-beta2, wobei ausdrücklich gilt: Beta-Versionen sind nicht für Produktion gedacht. Für 11.2.x und darunter sowie 10.5.x und darunter existiert keine Korrektur im Code; ebenso sind Drupal 8 und 9 end-of-life. Zusätzlich erwähnt das Advisory eine Sicherheitsdeckungs-Lücke zum Jahresende: Sowohl 11.3.x als auch 10.6.x verlieren im Dezember 2026 den Security-Support, sodass selbst ein kurzfristiges Update strategisch nicht „fertig“ bedeutet.
Wer in der Zwischenzeit nicht updaten kann, bekommt als Notfallmaßnahme einen konkreten Workaround: Das Advisory empfiehlt, das Modul field_ui zu deinstallieren. Dadurch sollen Websites „vorübergehend geschützt“ sein, während das eigentliche Update nachgeholt wird; allerdings werden in dieser Zeit die Admin-Seiten für Felder und deren Darstellung unzugänglich. Ein praktischer Aspekt, der im Advisory betont wird: Field UI wird über das „Standard install profile“ installiert, weshalb es in vielen Setups ohnehin vorhanden ist, sofern nicht manuell entfernt. Zusätzlich nennt das Team einen WAF-Ansatz: Ein Drupal Steward genannter Dienst mit Regeln, die vom Security Team erstellt wurden, blockiert bereits einige bekannte Angriffsvektoren. Der WAF deckt jedoch nicht alle denkbaren Varianten ab, daher gilt weiterhin: Patchen bleibt die Hauptmaßnahme.
Auch der Markt- und Monitoring-Kontext macht die Dringlichkeit greifbar. In der Woche beginnend ab dem 4. Oktober lagen laut drupal.org-Zählung 151.442 von 531.499 Seiten (28,5 %) auf einem Zweig, der im Advisory als betroffen geführt wird und für den noch kein Fix eingespielt war. Zum Veröffentlichungstiming passt zudem die Kommunikationsstrategie: Drupal hatte die Veröffentlichung bereits am 12. Oktober vorangekündigt und Betreiber zur Zeitreservierung aufgefordert, weil Exploits innerhalb von Stunden oder Tagen entwickelt werden könnten. Diese Sorge ist angesichts früherer Vorfälle plausibel: Drupal verwies auf eine Core-SQL-Injection-Lücke, bei der es innerhalb von zwei Tagen nach dem Advisory zu Exploit-Versuchen kam; zudem wurde diese Schwachstelle später in einem US-Katalog bekannter ausgenutzter Lücken gelistet. Interessant ist außerdem die Nachbarschaft in derselben Release-Familie: Neben dem Field-UI-RCE behebt Drupal zugleich zwei moderat kritische Cross-Site-Scripting-Probleme in Link und Navigation, die jeweils mindestens einen eingeloggten Nutzer voraussetzen.
In der Praxis sollten Teams daher zwei Spuren parallel fahren: erstens die technische Bereinigung durch Aktualisierung auf eine der betroffenen Fix-Versionen, zweitens die Anwendungskontrolle für Custom-Extensions. Besonders relevant ist dabei das Zusammenspiel mit dem Entity List Modul, das in einem eigenen Advisory als CVE-2026-108099 ebenfalls einen kritischen Remote-Code-Execution-Fall adressiert und den Bedingungen des Field-UI-Fixes entspricht; wichtig: Das Update der Core-Version ersetzt nicht automatisch das zugehörige Modul, weshalb auch dort 3.0.10 separat zu prüfen ist. Ergänzend empfiehlt das Advisory nach dem Update Tests auf den konkreten Admin-Flows sowie die Prüfung von Code-Stellen, die Render-Tabellen über #region_callback beeinflussen. Für Entscheider heißt das: Der Patch ist nicht nur „Maintenance“, sondern reduziert eine reale Angriffsfläche im Administrationskontext – genau dort, wo erfolgreiche Ausnutzung meist die höchsten Folgeschäden verursacht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Drupal Field UI: Security-Team schließt kritischen RCE-Pfad (CVE-2026-108097)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Drupal Field UI: Security-Team schließt kritischen RCE-Pfad (CVE-2026-108097)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Drupal Field UI: Security-Team schließt kritischen RCE-Pfad (CVE-2026-108097)« bei Google Deutschland suchen, bei Bing oder Google News!