Drupal核心RCE漏洞CVE-2026-108097需紧急修复

资讯专家

Drupal发布安全更新，修复五个漏洞，其中两个为严重级别、可导致远程代码执行（RCE）。官方提示部分漏洞存在无需认证的已知利用路径，并且与其他贡献模块组合时可能被快速利用。Drupal未说明这些漏洞已在野利用，但此前在10月12日提醒管理员为内核更新预留时间，称利用代码可能在数小时或数天内出现。

第一个RCE为CVE-2026-108099，位于Entity List模块。该模块用于在不依赖Views的情况下创建实体列表。它单独使用时不可利用，但与其他贡献模块组合存在利用路径；至少一个已知路径不需要认证，自定义代码也可能暴露易受攻击的功能。修复版本为Entity List 3.0.10。

第二个RCE为CVE-2026-108097，影响Drupal核心的Field UI模块。仅使用Drupal核心时不可利用，但贡献模块会提供严重利用路径，其中至少一个无需认证。若业务不使用该模块，可卸载核心Field UI模块作为缓解措施；同时应按官方建议将Drupal升级至11.4.10、11.3.19或10.6.19。旧版本已EOL，不再接收安全更新。

本次更新还修复Link模块中的XSS问题（合并跟踪为CVE-2026-108515）、Navigation模块中的XSS漏洞（CVE-2026-108514），以及Gin管理主题中可能导致XSS攻击的安全缺陷。Gin 5.0.16和4.1.4已包含修复。

处置建议：优先盘点是否启用Entity List、Field UI、Link、Navigation及Gin主题；按官方公告升级到对应修复版本；对暂不需要的Field UI模块评估卸载；持续关注Drupal安全公告页的更新。