امنیت دروپال؛ رفع دو نقص بحرانی اجرای کد از راه دور

امنیت دروپال با انتشار وصله برای دو آسیب‌پذیری بحرانی اجرای کد از راه دور تقویت شد. این نقص‌ها می‌توانند به مهاجمان اجازه دهند روی وب‌سایت‌های دارای نسخه‌های پشتیبانی‌شده این سامانه مدیریت محتوا کد اجرا کنند؛ دروپال هشدار داده است که اکسپلویت‌ها ممکن است ظرف چند ساعت یا چند روز توسعه یابند.

این مشکلات ماژول Field UI در هسته دروپال و ماژول الحاقی Entity List را تحت تأثیر قرار می‌دهند. طبق اعلام تیم امنیتی دروپال، همه نسخه‌های پشتیبانی‌شده هسته آسیب‌پذیرند. دروپال که بیش از یک میلیون وب‌سایت از آن استفاده می‌کنند، میان نهادهای دولتی، دانشگاه‌ها و سازمان‌های غیرانتفاعی محبوب است.

نقص‌های CVE-2026-108097 و CVE-2026-108099 صرفاً با هسته دروپال قابل سوءاستفاده نیستند، اما ماژول‌های الحاقی یا کد سفارشی می‌توانند مسیر حمله ایجاد کنند. برای هر دو مورد، دست‌کم یک مسیر شناخته‌شده وجود دارد که به احراز هویت نیاز ندارد؛ موضوعی که به‌ویژه برای مدیران سایت‌های سازمانی اهمیت دارد.

مدیران باید هسته را، متناسب با شاخه انتشار، به نسخه 10.6.19، 11.3.19 یا 11.4.10 و Entity List را به 3.0.10 به‌روزرسانی کنند. نسخه‌های پیش از 10.6.x و نسخه‌های دروپال 11 پیش از 11.3.x دیگر پشتیبانی نمی‌شوند. اگر ارتقا ممکن نیست، حذف ماژول Field UI از هسته یک راهکار کاهشی مؤثر است.

منبع: BleepingComputer