Разработчики Drupal исправили CVE-2026-108097 в штатном модуле Field UI. При определённых условиях ошибка позволяет запускать код на сервере без авторизации. Около 151 тысячи сайтов работают на устаревших ветках CMS, для которых отдельные исправления уже не выпускают.
Уязвимость становится опасной при взаимодействии Field UI с дополнительными модулями или собственным кодом сайта. Одного уязвимого ядра недостаточно. Разработчики подтвердили несколько сценариев эксплуатации, включая удалённую атаку без учётной записи. Публичного эксплойта пока нет.
Чтобы исключить известные сценарии атаки, администраторам стоит перейти на Drupal 11.4.10, 11.3.19 или 10.6.19. Для устаревших веток потребуется миграция. Если быстро обновить CMS невозможно, временно снизить риск поможет удаление модуля Field UI. Такая мера ограничит управление полями через административную панель.