Drupal corrige falhas críticas de execução remota de código e alerta para risco de exploração
O projeto Drupal lançou atualizações de segurança para corrigir duas vulnerabilidades críticas capazes de permitir execução remota de código em sites afetados. Como esse tipo de falha pode abrir caminho para que um invasor execute comandos no servidor, administradores devem avaliar a exposição dos sistemas e instalar as versões corrigidas o quanto antes.
Os problemas atingem componentes diferentes: o Field UI, que faz parte do núcleo do Drupal, e o Entity List, um módulo contribuído. A equipe de segurança do projeto alertou que ferramentas de exploração podem surgir rapidamente – possivelmente em horas ou dias – e recomendou que responsáveis pelos sites reservem tempo para aplicar as atualizações.
A vulnerabilidade CVE-2026-108097 está no Field UI e pode permitir a execução de código arbitrário em servidores vulneráveis. Embora não seja explorável apenas com o núcleo do Drupal instalado, módulos adicionais podem criar caminhos de ataque. Pelo menos uma das formas conhecidas de exploração não exige autenticação. Código personalizado também pode expor a funcionalidade vulnerável.
A segunda falha, CVE-2026-108099, afeta o Entity List, módulo usado para criar listas de entidades sem recorrer ao Views. A exploração também depende de integrações oferecidas por módulos contribuídos ou por código personalizado. Entre os caminhos identificados, há pelo menos um que pode ser usado sem que o invasor esteja autenticado.
Versões corrigidas
A recomendação é atualizar o núcleo do Drupal de acordo com a linha instalada:
– Drupal 10: versão 10.6.19;
– Drupal 11: versão 11.3.19 ou 11.4.10, conforme a ramificação utilizada;
– Entity List: versão 3.0.10.
Todas as versões suportadas do núcleo são afetadas, segundo o aviso de segurança. Já as versões anteriores à 10.6.x e as versões do Drupal 11 anteriores à 11.3.x chegaram ao fim do ciclo de suporte. Como não recebem mais manutenção, devem ser tratadas como um risco adicional: além destas falhas, podem permanecer expostas a outros problemas sem correção.
As versões de pré-lançamento do Drupal 12 anteriores ao beta 2 também foram afetadas. Elas não devem ser utilizadas em ambientes de produção. A versão estável 12.0 deverá incluir as correções para as duas vulnerabilidades.
O que fazer se a atualização não for possível
Quando não for viável instalar imediatamente uma versão corrigida, o projeto recomenda desinstalar o módulo Field UI, identificado como `field_ui`, como medida de mitigação. Essa ação pode reduzir a exposição relacionada à falha no núcleo, mas não substitui a atualização definitiva nem resolve, por si só, o risco associado ao Entity List.
O Drupal Steward pode bloquear alguns vetores de ataque conhecidos, porém não cobre todas as formas possíveis de exploração. Por isso, a adoção dessa proteção deve ser considerada uma camada complementar, e não uma alternativa aos patches. Também é importante verificar se o módulo Entity List está instalado e, em caso afirmativo, atualizá-lo para a versão 3.0.10.
Como organizar a resposta à falha
A primeira etapa é identificar quais sites estão em execução e registrar as versões do núcleo, dos módulos contribuídos e do código personalizado. Em ambientes com várias instalações, esse inventário ajuda a localizar rapidamente sistemas desatualizados e a priorizar os que utilizam Field UI ou Entity List.
Antes de atualizar, equipes técnicas devem testar as mudanças em um ambiente de homologação, especialmente quando o site depende de módulos personalizados ou integrações específicas. Depois da validação, a instalação dos patches deve ser acompanhada por uma verificação funcional das páginas e dos recursos administrativos.
Também convém revisar configurações de acesso e limitar permissões administrativas ao mínimo necessário. Como há caminhos de exploração que não exigem autenticação, controles de conta não eliminam o risco, mas ajudam a reduzir outras possibilidades de comprometimento. Após a atualização, a análise de registros do servidor e do Drupal pode auxiliar na identificação de atividades suspeitas anteriores à correção.
O Drupal é um sistema de gerenciamento de conteúdo gratuito e de código aberto, utilizado para criar e administrar sites. É comum em órgãos governamentais, universidades e organizações sem fins lucrativos, e mais de um milhão de sites utilizam a plataforma, conforme dados do próprio projeto. Essa ampla adoção torna a aplicação rápida das correções especialmente importante para reduzir a janela de exposição.