امنیت دروپال؛ رفع دو نقص بحرانی اجرای کد از راه دور
دروپال دو آسیب‌پذیری بحرانی اجرای کد از راه دور را وصله کرد و هشدار داد که اکسپلویت‌ها ممکن است ظرف چند ساعت یا چند روز منتشر شوند.
امنیت دروپال با انتشار وصله برای دو آسیب‌پذیری بحرانی اجرای کد از راه دور تقویت شد. این نقص‌ها می‌توانند به مهاجمان اجازه دهند روی وب‌سایت‌های دارای نسخه‌های پشتیبانی‌شده این سامانه مدیریت محتوا کد اجرا کنند؛ دروپال هشدار داده است که اکسپلویت‌ها ممکن است ظرف چند ساعت یا چند روز توسعه یابند.
این مشکلات ماژول Field UI در هسته دروپال و ماژول الحاقی Entity List را تحت تأثیر قرار می‌دهند. طبق اعلام تیم امنیتی دروپال، همه نسخه‌های پشتیبانی‌شده هسته آسیب‌پذیرند. دروپال که بیش از یک میلیون وب‌سایت از آن استفاده می‌کنند، میان نهادهای دولتی، دانشگاه‌ها و سازمان‌های غیرانتفاعی محبوب است.
نقص‌های CVE-2026-108097 و CVE-2026-108099 صرفاً با هسته دروپال قابل سوءاستفاده نیستند، اما ماژول‌های الحاقی یا کد سفارشی می‌توانند مسیر حمله ایجاد کنند. برای هر دو مورد، دست‌کم یک مسیر شناخته‌شده وجود دارد که به احراز هویت نیاز ندارد؛ موضوعی که به‌ویژه برای مدیران سایت‌های سازمانی اهمیت دارد.
مدیران باید هسته را، متناسب با شاخه انتشار، به نسخه 10.6.19، 11.3.19 یا 11.4.10 و Entity List را به 3.0.10 به‌روزرسانی کنند. نسخه‌های پیش از 10.6.x و نسخه‌های دروپال 11 پیش از 11.3.x دیگر پشتیبانی نمی‌شوند. اگر ارتقا ممکن نیست، حذف ماژول Field UI از هسته یک راهکار کاهشی مؤثر است.
منبع: BleepingComputer
پروژه‌ای در این زمینه دارید؟
مشاوره‌ی اولیه و برآورد هزینه رایگان است.
