Sviluppatori Drupal correggono vulnerabilità RCE critiche: exploit nel giro di poche ore

Gli sviluppatori di Drupal hanno risolto due vulnerabilità critiche (CVE-2026-108097 e CVE-2026-108099) che possono portare all'esecuzione remota di codice lato server. La prima vulnerabilità riguarda il modulo Field UI nel core del CMS, la seconda il modulo esterno Entity List. Entrambe possono essere sfruttate senza autenticazione. Gli sviluppatori avvertono che gli exploit potrebbero arrivare molto presto ed è necessario quanto prima aggiornare i sistemi.

Gli sviluppatori di Drupal hanno risolto due vulnerabilità critiche che potevano portare all’esecuzione remota di codice lato server. I bug interessano il modulo Field UI nel core del CMS e il modulo esterno Entity List, e almeno uno dei metodi noti di sfruttamento di queste vulnerabilità non richiede autenticazione. Gli sviluppatori avvertono che gli exploit potrebbero apparire già nei prossimi giorni.

La prima vulnerabilità (CVE-2026-108097) interessa il modulo Field UI, che fa parte del core del CMS e gestisce le pagine amministrative dove vengono configurati i campi e la loro visualizzazione. Il problema ha ricevuto una valutazione critica — 19 su 25 punti nella scala propria di Drupal.

Come spiegano gli sviluppatori, questo bug non può essere sfruttato esclusivamente con i mezzi del core del CMS, tuttavia i moduli esterni aprono diverse possibilità di attacco, inclusa almeno una che non richiede autorizzazione. Inoltre, le funzioni vulnerabili potrebbero risultare accessibili tramite moduli personalizzati.

Il problema è legato alla gestione dei callback PHP durante la formazione delle tabelle amministrative di Field UI. Prima della correzione, Field UI eseguiva tramite call_user_func_array un callback PHP per la riga della tabella nella proprietà #region_callback, senza verificare quale funzione fosse stata trasmessa. Di conseguenza, ciò permette di aggirare la protezione esistente di Drupal contro l’esecuzione di callback non attendibili. Con il rilascio del patch, gli sviluppatori hanno completamente abbandonato questo meccanismo.

La seconda vulnerabilità critica (CVE-2026-108099) è stata rilevata nel modulo esterno Entity List. Anche questo bug porta all’esecuzione remota di codice e, in determinate condizioni, può essere sfruttato senza autenticazione (all’attaccante è comunque richiesto l’interazione con altri moduli o codice personalizzato). Per risolvere questo problema è stata rilasciata la versione Entity List 3.0.10.

Gli sviluppatori di Drupal hanno anticipatamente avvertito gli amministratori riguardo ai prossimi patch. Già il 12 ottobre 2026, il team di sicurezza del progetto comunicava che gli exploit per alcune vulnerabilità critiche potrebbero apparire nel giro di poche ore o giorni dopo la divulgazione dei dettagli sui bug.

Si sottolinea che per risolvere la vulnerabilità CVE-2026-108097 è necessario aggiornare il core del CMS alle versioni Drupal 11.4.10, 11.3.19 o 10.6.19, a seconda del ramo utilizzato. Le vecchie versioni Drupal 11.2.x, 10.5.x e precedenti non sono più supportate e non ci si può aspettare patch per esse.

Se per qualche motivo non è possibile installare l’aggiornamento, gli esperti consigliano di rimuovere temporaneamente il modulo field_ui. Questo proteggerà da un eventuale sfruttamento del bug, ma priverà gli amministratori dell’interfaccia di gestione dei campi.

Si segnala inoltre che il servizio Drupal Steward blocca già alcuni vettori di attacco noti, ma non garantisce una protezione completa.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response