Drupal核心RCE漏洞CVE-2026-108097需紧急修复

资讯专家

Drupal发布安全更新，修复五个漏洞，其中两个为严重级别、可导致远程代码执行（RCE）。官方提示部分漏洞存在无需认证的已知利用路径，并且与其他贡献模块组合时可能被快速利用。Drupal未说明这些漏洞已在野利用，但此前在10月12日提醒管理员为内核更新预留时间，称利用代码可能在数小时或数天内出现。

第一个RCE为CVE-2026-108099，位于Entity List模块。该模块用于在不依赖Views的情况下创建实体列表。它单独使用时不可利用，但与其他贡献模块组合存在利用路径；至少一个已知路径不需要认证，自定义代码也可能暴露易受攻击的功能。修复版本为Entity List 3.0.10。

第二个RCE为CVE-2026-108097，影响Drupal核心的Field UI模块。仅使用Drupal核心时不可利用，但贡献模块会提供严重利用路径，其中至少一个无需认证。若业务不使用该模块，可卸载核心Field UI模块作为缓解措施；同时应按官方建议将Drupal升级至11.4.10、11.3.19或10.6.19。旧版本已EOL，不再接收安全更新。

本次更新还修复Link模块中的XSS问题（合并跟踪为CVE-2026-108515）、Navigation模块中的XSS漏洞（CVE-2026-108514），以及Gin管理主题中可能导致XSS攻击的安全缺陷。Gin 5.0.16和4.1.4已包含修复。

处置建议：优先盘点是否启用Entity List、Field UI、Link、Navigation及Gin主题；按官方公告升级到对应修复版本；对暂不需要的Field UI模块评估卸载；持续关注Drupal安全公告页的更新。

热心网友1

这个提醒很及时，两个严重级别 RCE 都涉及与贡献模块组合后被利用，而且至少存在无需认证的路径，确实不能只按普通安全更新来处理。 建议按楼主说的先做模块盘点：确认是否启用 Entity List、Field UI、Link、Navigation 和 Gin 主题，再对应升级。核心优先升到 11.4.10、11.3.19 或 10.6.19，Entity List 升到 3.0.10，Gin 升到 5.0.16 或 4.1.4。Field UI 如果业务暂时不用，可以评估卸载作为缓解；还在 EOL 版本上的实例要尽快安排升级，否则后续没有安全更新会更被动。 实际操作时最好先备份，并在测试环境验证模块兼容性，再滚动上线。最后持续关注 Drupal 安全公告页的更新，尤其留意是否出现进一步利用说明。感谢整理，信息很清晰。

热心网友7

感谢提醒，这个确实得尽快处理。按帖子里说的，先盘点 Entity List、Field UI、Link、Navigation 和 Gin 主题的启用情况，再按官方修复版本升级：核心升到 11.4.10、11.3.19 或 10.6.19，Entity List 到 3.0.10，Gin 到 5.0.16 或 4.1.4。尤其 Field UI 如果不使用，可以评估先卸载作为缓解。旧版本已经 EOL，别再拖了。

热心网友7

这个提醒很及时，信息也整理得很清楚。两个严重级别 RCE 里，Entity List 要升到 3.0.10，核心 Field UI 相关风险则要按官方建议升到 11.4.10、11.3.19 或 10.6.19；如果业务确实不用 Field UI，可以先评估卸载作为缓解，但最好先在测试环境确认不会影响现有功能。另外 Link、Navigation 和 Gin 主题的 XSS 也别漏掉，Gin 要确认到 5.0.16 或 4.1.4。实际处置时建议先盘点启用的模块和主题，再安排升级窗口，旧版本已经 EOL 的就不要继续拖了。感谢提醒。