Drupal ha corretto il 14 ottobre una falla critica in Field UI, tracciata come CVE-2026-108097, con versioni 11.4.10, 11.3.19 e 10.6.19. Il punto non è solo il core: almeno un percorso noto passa da moduli contribuiti o da codice personalizzato, quindi l’esposizione reale dipende da ciò che il sito ha aggiunto attorno a Drupal.
In pratica, una funzione pensata per chi amministra campi e visualizzazioni può essere raggiunta di lato attraverso estensioni del sito, e almeno un percorso non richiede login. Questo trasforma un bug apparentemente confinato alle pagine admin in una possibile RCE sul server, anche quando il core da solo non espone la superficie.
Per chi gestisce siti Drupal con moduli contribuiti o codice custom, la lettura corretta non è “il core è patchato”, ma “la combinazione installata decide se il varco resta aperto”. I siti basati sul profilo Standard ereditano Field UI per impostazione predefinita, quindi l’esposizione può sopravvivere finché non si verifica l’intera pila applicativa.
Drupal patches critical RCE flaws, warns exploits may emerge soon
Drupal has patched two critical vulnerabilities that could allow attackers to execute code remotely on websites running any supported version of the content management system.