Drupal heeft meerdere beveiligingsproblemen gepatcht, waaronder twee kwetsbaarheden met kritieke impact die kunnen uitmonden in remote code execution (RCE). Dat betekent dat een aanvaller mogelijk code kan laten uitvoeren op het systeem waar Drupal draait. Omdat Drupal ook aangeeft dat exploitontwikkeling binnen uren of dagen kan plaatsvinden, is het verstandig om de update zo snel mogelijk door te voeren.
Dit artikel vat samen wat er is gerepareerd, welke versies je moet updaten en welke aanvullende fixes (zoals XSS) onderdeel zijn van de recente releases.
Wat is er gepatcht bij Drupal?
Drupal rolde patches uit voor vijf kwetsbaarheden. Twee daarvan hebben een kritieke ernst en vallen binnen de categorie Drupal kritieke RCE. De andere issues richten zich onder meer op cross-site scripting (XSS) in core modules en een beveiligingslek in een administratietheme.
CVE-2026-108099: Entity List module
De eerste kritieke kwetsbaarheid zit in de Entity List-module en is geregistreerd als CVE-2026-108099. Deze bug gaat over functionaliteit waarmee gebruikers entiteiten kunnen samenstellen in lijsten, zonder Views te gebruiken.
Belangrijk detail: alleen het gebruik van de Entity List module is niet voldoende om het probleem te misbruiken. Drupal benadrukt wel dat er exploitpaden bestaan wanneer andere (contributed) modules meewerken. Daarbij geldt ook dat ten minste één bekend exploitpad geen authenticatie vereist. Drupal merkt bovendien op dat custom code kwetsbare functionaliteit kan blootleggen.
CVE-2026-108097: Field UI in Drupal core
De tweede kritieke RCE-kwetsbaarheid bevindt zich in Field UI binnen Drupal core en staat als CVE-2026-108097 in de advisories. Ook hier geldt dat misbruik niet alleen door Drupal core mogelijk wordt, maar dat gecontribueerde modules een serieuze rol kunnen spelen bij het tot stand komen van exploitpaden.
Drupal noemt opnieuw dat er exploitpaden bestaan, waaronder minstens één die zonder authenticatie kan. Als snelle mitigatie noemt Drupal dat je de core Field UI module kunt verwijderen. In combinatie met het patchen helpt dit om de aanvalskans tijdelijk verder te verkleinen.
Welke updates moet je nu uitvoeren?
Voor een effectieve remediatie raadt Drupal gebruikers aan om te upgraden naar de volgende versies.
- Voor Entity List: update naar versie 3.0.10.
- Voor Drupal releases: update naar 11.4.10, 11.3.19 of 10.6.19.
Daarnaast wijst Drupal erop dat eerdere Drupal-versies end-of-life zijn en daardoor geen beveiligingsupdates meer ontvangen. Gebruik je een oudere versie, dan is upgraden geen optie maar noodzaak.
Extra beveiligingsfixes: XSS in core en Gin theme
Naast de RCE-issues bevat de update ook andere beveiligingsreparaties. Zo worden er XSS-gaten verholpen in core modules:
- Link module (XSS): samen als CVE-2026-108515
- Navigation module (XSS): CVE-2026-108514
Verder heeft Drupal ook een defect aangepakt in het administratietheme Gin, dat kan leiden tot XSS-aanvallen. De fix zit in:
- Gin 5.0.16 en Gin 4.1.4
Drupal noemt daarbij geen exploitactie in het wild. Maar gezien de waarschuwing dat aanvallen snel kunnen volgen na publicatie, is “wachten tot er misbruik wordt gezien” geen verstandig plan.
Waarom de aanvalskans snel kan toenemen
Hoewel misbruik in beide RCE-gevallen niet direct “out-of-the-box” lijkt met alleen de betreffende module, betekent het bestaan van exploitpaden met andere (gecontribueerde) modules dat de daadwerkelijke risico’s afhankelijk zijn van jouw installatiesamenstelling.
Drupal waarschuwt daarbij expliciet voor snelheid in de keten: exploitontwikkeling kan binnen uren of dagen ontstaan. Dat is precies waarom het belangrijk is om je versiebeheer en patchproces strak te organiseren: je wilt niet pas reageren wanneer er al actieve probes of geautomatiseerde aanvallen rondgaan.
Praktische aanpak: zo pak je dit veilig aan
Je kunt deze update het beste benaderen als een korte, gerichte patch-run met controle achteraf.
1) Inventory van je Drupal-omgeving
Start met het vaststellen van je huidige Drupal-coreversie en welke contributed modules je gebruikt. Zeker bij Entity List en Field UI (of modules die hierop inhaken) wil je snel weten of er combinaties bestaan die exploitpaden kunnen activeren.
2) Update naar de aanbevolen versies
Werk Drupal en de betreffende module(s) bij naar de door Drupal genoemde versies. Door releases te combineren en gecontroleerd te deployen, voorkom je dat je half gepatcht blijft.
3) Mitigatie waar nodig
Als je niet direct kunt upgraden, noemden de advisories dat het verwijderen van de core Field UI-module een tijdelijke mitigatie kan zijn. Gebruik dit als tussenstap, niet als eindoplossing.
4) Controle na de upgrade
Na deployment is het verstandig om te controleren of er geen onverwachte wijzigingen zijn in formulieren, navigatiecomponenten en beheerflows. Omdat de update ook XSS-fixes omvat, wil je vooral zeker weten dat je website niet langer kwetsbaar is via de gerepareerde modules en theme-onderdelen.
Vergelijkbare incidenten: waarom Drupal-patching niet mag wachten
In de praktijk zie je dat wanneer een kwetsbaarheid breed wordt besproken, aanvallers snel hun werk kunnen aanpassen aan verschillende omgevingen—zeker bij platformen die via modules worden uitgebreid. Op deze site hebben we eerder ook meldingen besproken waarbij kwetsbaarheden (of exploitketens) razendsnel na publicatie concrete impact konden krijgen.
Lees bijvoorbeeld:
- Plex2Shell: exploitketen actief na publicatie
- FortiGate-inbraak via PeerStitch en Fortinet-kwetsbaarheden
Deze voorbeelden onderstrepen vooral één punt: een snelle patchcyclus is vaak het verschil tussen “theoretisch risico” en daadwerkelijke schade.
Conclusie
De recente Drupal-updates draaien om Drupal kritieke RCE: twee kwetsbaarheden (CVE-2026-108099 en CVE-2026-108097) kunnen—afhankelijk van je modulegebruik—leiden tot remote code execution. Daarnaast worden er XSS-issues in core modules en een probleem in het Gin-administratietheme gerepareerd.
Drupal adviseert om nu te updaten naar Entity List 3.0.10 en de aanbevolen Drupal-versies (11.4.10, 11.3.19 of 10.6.19). Gezien de waarschuwing dat exploitontwikkeling snel kan volgen, is dit het moment om actie te nemen en je omgeving op orde te brengen.
Bron: https://www.securityweek.com/drupal-warns-of-fast-exploitation-risk-for-critical-core-rce-flaw/
