Drupal đã chính thức phát hành bản cập nhật bảo mật xử lý 5 lỗ hổng, trong đó có hai lỗi ở mức độ nghiêm trọng cho phép tin tặc thực thi mã từ xa (RCE).
Lỗ hổng đầu tiên được định danh là CVE-2026-108099, xuất hiện trong mô-đun Entity List – thành phần hỗ trợ người dùng tạo danh sách thực thể mà không cần sử dụng Views. Dù không thể bị khai thác độc lập, lỗ hổng này lại có thể bị kích hoạt khi kết hợp cùng các mô-đun đóng góp khác từ cộng đồng. Drupal cho biết đã ghi nhận ít nhất một kịch bản tấn công không yêu cầu xác thực, đồng thời các đoạn mã tùy biến của người dùng cũng có thể vô tình làm lộ diện tính năng dễ bị tấn công này.
Lỗ hổng thứ hai mang mã định danh CVE-2026-108097, nằm trong mô-đun Field UI thuộc Drupal core. Tương tự, lỗi này không thể khai thác nếu chỉ hoạt động trên lõi Drupal đơn thuần, nhưng sự hiện diện của các mô-đun bên thứ ba tạo ra những lộ trình tấn công nguy hiểm, bao gồm cả phương thức không cần đăng nhập. Để giảm thiểu rủi ro tức thời, quản trị viên có thể gỡ bỏ cài đặt mô-đun Field UI khỏi hệ thống.
Để khắc phục các mối đe dọa trên, người dùng được khuyến nghị nâng cấp mô-đun Entity List lên phiên bản 3.0.10, đồng thời cập nhật Drupal core lên các phiên bản 11.4.10, 11.3.19 hoặc 10.6.19. Những bản phát hành Drupal cũ hơn hiện đã hết vòng đời hỗ trợ (EOL) và sẽ không còn nhận được các bản vá an ninh.
Ngoài ra, đợt cập nhật này còn giải quyết các lỗi tấn công kịch bản chéo trang (XSS) trong mô-đun Link thuộc Drupal core (được theo dõi chung dưới mã CVE-2026-108515) và mô-đun Navigation (CVE-2026-108514). Một khiếm khuyết bảo mật khác có thể dẫn đến tấn công XSS trên giao diện quản trị Gin cũng đã được khắc phục thông qua các phiên bản Gin 5.0.16 và 4.1.4.
Hiện Drupal chưa ghi nhận dấu hiệu nào cho thấy các lỗ hổng này đã bị khai thác trong thực tế. Tuy nhiên, vào ngày 12 tháng 10, tổ chức này đã chủ động thúc giục các quản trị viên sắp xếp thời gian nâng cấp hệ thống lõi càng sớm càng tốt, đưa ra cảnh báo rằng mã khai thác có thể sẽ xuất hiện chỉ trong vòng vài giờ hoặc vài ngày. Chi tiết kỹ thuật bổ sung hiện đã được đăng tải trên trang tư vấn an ninh của Drupal.
