Drupal vá lỗ hổng RCE nghiêm trọng trong Field UI
"Drupal addressed a critical Remote Code Execution (RCE) flaw (CVE-2026-108097) in the Field UI module, potentially allowing attackers to execute code on affected servers. Exploitation is possible through contributed modules, with at least one path requiring no login. Patches are available for Drupal 11.4.10, 11.3.19, and 10.6.19; uninstalling the Field UI module provides temporary mitigation."
Lỗ hổng RCE cho phép kẻ tấn công thực thi mã từ xa trên máy chủ, có thể dẫn đến mất dữ liệu hoặc chiếm quyền điều khiển hệ thống.
Các doanh nghiệp sử dụng Drupal có thể gặp gián đoạn dịch vụ, mất uy tín và thiệt hại tài chính nếu hệ thống bị tấn công. Việc cập nhật ngay lập tức là rất quan trọng.
Drupal phát hành bản vá cho lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng (CVE-2026-108097) trong module Field UI, có thể cho phép kẻ tấn công thực thi mã trên máy chủ. Lỗ hổng này có ít nhất một đường dẫn khai thác không cần đăng nhập. Các bản vá có sẵn cho Drupal 11.4.10, 11.3.19 và 10.6.19; gỡ cài đặt module Field UI là biện pháp giảm thiểu tạm thời.
Lỗ hổng nằm trong Field UI, module lõi quản lý hiển thị trường. Drupal đánh giá mức độ rủi ro là 19/25, mức độ nghiêm trọng. Các module đóng góp có thể tạo đường dẫn khai thác, và một số trường hợp không yêu cầu xác thực.
Drupal Steward, một tường lửa ứng dụng web, đã chặn một số vectơ tấn công liên quan đến lỗ hổng này. Tuy nhiên, các trang web vẫn nên cập nhật. Bản vá sửa đổi cách Field UI xây dựng bảng quản trị, ngăn chặn việc thực thi các hàm PHP tùy ý thông qua thuộc tính #region_callback. Module Entity List cũng nhận được bản vá tương tự (CVE-2026-108099).
Ngoài ra, hai lỗ hổng cross-site scripting (XSS) mức độ trung bình cũng được vá trong các module Link (CVE-2026-108515) và Navigation (CVE-2026-108514), yêu cầu người dùng đã đăng nhập.
Câu hỏi thường gặp
CVE-2026-108097 là gì?
CVE-2026-108097 là mã định danh cho một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong module Field UI của Drupal. Lỗ hổng này có thể cho phép kẻ tấn công thực thi mã tùy ý trên máy chủ.
Các phiên bản Drupal nào bị ảnh hưởng?
Các phiên bản Drupal 11.4.x, 11.3.x và 10.6.x bị ảnh hưởng. Các phiên bản Drupal 11.2.x trở xuống, 10.5.x trở xuống, và Drupal 8 và 9 không còn được hỗ trợ.
Làm thế nào để khắc phục lỗ hổng?
Cập nhật lên Drupal 11.4.10, 11.3.19 hoặc 10.6.19. Nếu không thể cập nhật ngay lập tức, hãy gỡ cài đặt module Field UI để giảm thiểu rủi ro.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Drupal để xây dựng website thương mại điện tử hoặc cổng thông tin. Việc cập nhật lên phiên bản mới nhất là cần thiết để ngăn chặn các cuộc tấn công tiềm ẩn. Các nhà phát triển Drupal tại Việt Nam nên kiểm tra mã tùy chỉnh để đảm bảo không sử dụng #region_callback một cách không an toàn. Điều đáng chú ý là lỗ hổng có thể bị khai thác mà không cần đăng nhập, làm tăng mức độ nghiêm trọng.