Drupal heeft een kritieke kwetsbaarheid verholpen in de Field UI-module, waardoor een aanvaller mogelijk Drupal Field UI RCE kan triggeren en code op de server kan laten uitvoeren. De Drupal Security Team-advisory meldt dat je de fout niet alleen via Drupal core kunt bereiken, maar dat er wél verschillende exploitpaden bestaan via bijgedragen (contributed) modules. Eén pad vereist zelfs geen inlog.
De fixes zijn beschikbaar vanaf 14 oktober in meerdere ondersteunde versies: Drupal 11.4.10, 11.3.19 en 10.6.19. Hieronder lees je welke stappen je nu het beste neemt, inclusief wat je kunt doen als updaten nog niet direct lukt.
Wat is er mis met Field UI?
De kwetsbaarheid, geregistreerd als CVE-2026-108097, zit in Field UI: de kernmodule die administrators gebruikt om velden te beheren en te bepalen hoe ze worden weergegeven in de beheeromgeving. Drupal scoort deze issue 19 van 25 op zijn eigen risicoschaal en noemt het daarmee kritiek.
Belangrijk detail uit de advisory: aanvallen lopen niet via core alleen. Exploitaties kunnen ontstaan door configuraties of extra functionaliteit via contributed modules. Drupal geeft ook aan dat custom code de kans op misbruik kan vergroten, bijvoorbeeld wanneer die code bepaalde eigenschappen instelt.
Welke Drupal-versies moet je patchen?
Drupal adviseert de volgende updates voor elk ondersteund productietak:
- Drupal 11.4.x: update naar 11.4.10
- Drupal 11.3.x: update naar 11.3.19
- Drupal 10.6.x: update naar 10.6.19
- Drupal 12.0.0 beta: 12.0.0-beta2 (niet voor productie)
- Geen fix voor 11.2.x en lager, 10.5.x en lager en Drupal 8/9 (einde levensduur)
Daarnaast valt op dat zowel 11.3.x als 10.6.x hun security coverage verliezen in december 2026. Dat is een goede reden om niet alleen “nu even patchen” te plannen, maar ook de lifecycle van je platform serieus mee te nemen.
Waarom is dit type RCE zo gevaarlijk?
Bij dit incident draait het om hoe Field UI admin-tabellen opbouwt. Field UI maakt beheerweergave door render arrays te gebruiken: PHP-structuren die Drupal omzet naar HTML.
Volgens de advisory liep er vóór de fix een probleem door in de pre-render stap van een tabel: de code kon iets aanroepen dat is vastgelegd via een eigenschap in de tabelrij. Daardoor kon een ongewenste PHP callable worden uitgevoerd.
Drupal heeft in de renderer zelf al langer beperkingen ingebouwd om onvertrouwde render callbacks te blokkeren (sinds versie 8.8 in 2019). De kwetsbaarheid ontstond omdat de renderer het pre-render gedrag vertrouwde op basis van hoe de tabel intern was samengesteld.
In de bijgewerkte versie (11.4.10) wordt de callback-aanroep vervangen door een aanpak waarbij Drupal de regio van de rij gebruikt (of terugvalt op de tabelinstellingen) in plaats van het uitvoeren van de opgegeven callable. Ook wordt in core zelf de setting van de callback beperkt tot Field UI’s eigen display forms, waardoor custom invulling via bepaalde #region_callback-velden na update niet meer hetzelfde effect heeft.
Wat kun je nu doen als je nog niet kunt updaten?
Als patchen nog niet direct haalbaar is, meldt de advisory een tijdelijke mitigatie: verwijder of uninstall Field UI door het module field_ui uit te schakelen. Drupal stelt dat dit “bescherming biedt terwijl updates worden uitgevoerd”.
Daar staat wel tegenover dat de beheerpagina’s voor manage fields en manage display dan niet beschikbaar zijn zolang Field UI uit staat.
Let op: Field UI wordt standaard geïnstalleerd via Drupal’s Standard install profile. Dat betekent dat je het waarschijnlijk ook aantreft in omgevingen die met dat standaardprofiel zijn opgebouwd, tenzij iemand het expliciet heeft verwijderd.
Zijn er al detecties of aanvullende bescherming?
De advisory noemt een web application firewall-dienst (Drupal Steward) die regels gebruikt die door het Security Team zijn geschreven. Daarmee worden al enkele bekende aanvalspaden geblokkeerd.
Volgens de bron draaien leveranciers zoals Acquia, Pantheon, Ironstar en Skpr deze regels voor hun klanten. Tegelijkertijd is het geen “volledige dekking”: de mitigation voorkomt niet alle mogelijke varianten. Drupal blijft daarom benadrukken: update alsnog, ook als je WAF actief is.
Wat weten we over exploitcode en aanvallen?
Ten tijde van publicatie vermeldde de advisory dat er geen publieke exploitcode beschikbaar was. Ook op het moment van publicatie in de bron is er geen melding dat er al aanvallen in de praktijk werden gezien met deze specifieke kwetsbaarheid.
Drupal had de release bovendien vooraf aangekondigd (op 12 oktober) en organisaties aangeraden om tijd te reserveren, omdat exploits zich binnen uren of dagen konden ontwikkelen. Dat patroon kennen veel teams: zodra een beveiligingsupdate publiek is, ontstaat er vaak een race tussen verdedigers en aanvallers.
Ter vergelijking: Drupal meldde eerder exploitpogingen binnen twee dagen na een core SQL injection issue (met CISA-vermelding). Dat maakt het extra belangrijk om tijdig te patchen.
Nog meer updates in dezelfde releaseperiode
Naast CVE-2026-108097 behandelt Drupal in dezelfde lijn ook andere problemen. Zo meldt de bron dat er een afzonderlijke kritieke RCE-kwetsbaarheid is voor de Entity List module, geregistreerd als CVE-2026-108099. Die fix is te vinden in Entity List 3.0.10, en wordt niet automatisch meegenomen door alleen core te updaten.
Verder zijn er tegelijk ook twee matig kritieke issues verholpen in de Link module (CVE-2026-108515) en de Navigation module (CVE-2026-108514). Ook daarvoor geldt: check je huidige implementatie en test na update de beheer- en gebruikersstromen.
Praktische aanpak: zo maak je je Drupal-omgeving veilig
Om de impact van Drupal Field UI RCE te beperken, helpt een gestructureerde aanpak:
- Inventariseer welke Drupal-versie je draait en of je binnen de genoemde getroffen branches valt.
- Check contributed modules en custom code die Field UI beïnvloeden, vooral als er veldenbeheer en display-logica in beheeromgevingen actief is.
- Update eerst naar de betreffende fixed releases (11.4.10 / 11.3.19 / 10.6.19).
- Test daarna de beheerpagina’s voor velden en weergave, en verifieer of #region_callback-instellingen in je codebase nog relevant zijn.
- Mitigeer tijdelijk door field_ui uit te schakelen als patchen moet wachten.
Wil je meer context over waarom updates en hardening in webapps zo snel “operationaliseren” vragen? Lees ook: Backdoor via Nextcloud CODE-app: wat te doen. Die aanpak is weliswaar voor een andere stack, maar de kern (mitigeren, patchen, testen en scope bepalen) is vergelijkbaar.
Conclusie
De nieuwe waarschuwing rond Drupal Field UI RCE laat zien hoe beheerfunctionaliteit in combinatie met contributed modules tot ernstige gevolgen kan leiden. Hoewel Drupal aangeeft dat aanvallen niet via core alleen lopen, bestaan er meerdere exploitpaden en minstens één bekende route zonder login.
Werk daarom zo snel mogelijk bij naar 11.4.10, 11.3.19 of 10.6.19. Lukt dat (nog) niet, schakel dan tijdelijk field_ui uit en test daarna de beheerpagina’s grondig. Zo verklein je de kans op misbruik het meest effectief.
Bron: https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html
