Vulnerabilità · 2 ore fa
Drupal ha corretto il 14 ottobre una falla critica in Field UI, tracciata come CVE-2026-108097, con versioni 11.4.10, 11.3.19 e 10.6.19. Il punto non è solo il core: almeno un percorso noto passa da moduli contribuiti o da codice personalizzato, quindi l’esposizione reale dipende da ciò che il sito ha aggiunto attorno a Drupal.
In pratica, una funzione pensata per chi amministra campi e visualizzazioni può essere raggiunta di lato attraverso estensioni del sito, e almeno un percorso non richiede login. Questo trasforma un bug apparentemente confinato alle pagine admin in una possibile RCE sul server, anche quando il core da solo non espone la superficie.
Per chi gestisce siti Drupal con moduli contribuiti o codice custom, la lettura corretta non è “il core è patchato”, ma “la combinazione installata decide se il varco resta aperto”. I siti basati sul profilo Standard ereditano Field UI per impostazione predefinita, quindi l’esposizione può sopravvivere finché non si verifica l’intera pila applicativa.
4 fonti che coprono questa storia
Kwetsbaarheden verholpen in Drupal Core en modules door Drupal
De kwetsbaarheden betreffen meerdere modules binnen Drupal.
Rilevate vulnerabilità in Drupal
Rilevate 3 vulnerabilità, di cui una con gravità "critica", in Drupal, noto Content Management System (CMS) open source.
Drupal patches critical RCE flaws, warns exploits may emerge soon
Drupal has patched two critical vulnerabilities that could allow attackers to execute code remotely on websites running any supported version of the content management system.
Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules
Drupal patched a critical Field UI RCE flaw reachable through contributed modules, including one known path that requires no login.
Part of the PlainSec briefing for 2026-10-19