Drupal heeft een kritieke kwetsbaarheid verholpen in de Field UI-component. De issue kan een aanvaller in staat stellen om code op de server uit te voeren via een pad dat niet alleen uit Drupal core voortkomt, maar ook via contributed modules kan lopen. Omdat het om remote code execution gaat, is snelle actie nodig.
De fout is bekend onder CVE-2026-108097 en is gepatcht op 14 oktober in onder meer Drupal 11.4.10, 11.3.19 en 10.6.19. Drupal noemt het voor core-risico zelfs 19 van 25 binnen de eigen schaal voor criticaliteit.
Wat is de Field UI RCE-kwetsbaarheid?
De kwetsbaarheid bevindt zich in Field UI, de core-module die admin-functionaliteit mogelijk maakt voor sitebouwers: het beheren van velden en het bepalen hoe die velden worden weergegeven.
Belangrijk: een aanvaller kan de kwetsbaarheid volgens de Drupal Security Team-advisory niet uitsluitend via core bereiken. Er bestaan meerdere exploitpaden via contributed modules. In ten minste één bekende route is geen login nodig.
Daarnaast kan custom code de situatie verergeren. Het advies is daarom om niet alleen te kijken naar je Drupal-versie, maar ook naar je configuratie, gebruikte modules en maatwerk.
Welke Drupal-versies krijgen een fix?
Drupal levert fixes voor verschillende onderhouden branches. Concreet gaat het om de volgende updates:
- Drupal 11.4.x: update naar 11.4.10
- Drupal 11.3.x: update naar 11.3.19
- Drupal 10.6.x: update naar 10.6.19
Voor Drupal 12.0.0 beta is een fix beschikbaar in 12.0.0-beta2, maar dat is niet bedoeld voor productie. Versies onder de genoemde ondersteunde lijnen krijgen geen nieuwe fixes, omdat ze end-of-life zijn.
Ook is er een planning die je moet meenemen: zowel 11.3.x als 10.6.x verliezen in december 2026 security coverage.
Waarom is dit risico extra urgent?
Drupal geeft in de advisory aan dat er in de week rond 4 oktober veel sites actief waren op branches die als affected zijn bestempeld en nog geen fix hadden ontvangen. Dat vergroot de kans dat aanvallers gericht misbruik gaan proberen.
Daarnaast had Drupal bij publicatie gemeld dat er geen publiek beschikbare exploitcode was. Op het moment van rapportage (tot 15 oktober) waren er ook geen aanvallen publiek beschreven of gemeld in openbare rapporten. Toch blijft dit een kwetsbaarheid waarbij, zodra er iemand een route ontdekt, het misbruik snel kan opschalen.
Drupal heeft bovendien vooruit aangekondigd dat organisaties tijd moesten reserveren voor patching, omdat exploitontwikkeling binnen uren of dagen kan ontstaan.
Wat verandert de patch in Field UI precies?
De kern van de wijziging zit in de manier waarop Field UI admin-tabellen opbouwt. Field UI gebruikt render arrays om output te genereren. In de oude situatie kon een table element tijdens een pre-render stap een PHP callable uitvoeren die via een veld in de rij werd aangeleverd (#region_callback).
Hoewel de Drupal-renderer al sinds versie 8.8 (sinds 2019) weigert om onbetrouwbare render callbacks uit te voeren, was deze controle in de praktijk niet bij de juiste stap aangekomen. De patch corrigeert dit door het callback-mechanisme niet langer te laten leiden tot het uitvoeren van code uit die callback.
In de code die is opgenomen in 11.4.10 wordt de region-waarde uit elke rij gelezen en wordt er teruggevallen op een hidden region of de eerste bekende region als die informatie ontbreekt. Daarmee verdwijnt de mogelijkheid dat de pre-render fase onbeheerd een callable aangrijpt.
Werk je met custom code of modules? Let extra op
Drupal stelt dat de callback in core vooral wordt ingesteld door Field UI zelf binnen display forms. Maar wanneer een organisatie custom code gebruikt die #region_callback op een field_ui-table-rij zet, dan zou die logica na de update niet meer worden uitgevoerd zoals voorheen.
Daarom adviseren leveranciers en Drupal om na het updaten de admin-pagina’s Manage fields en Manage display te testen. Zo voorkom je dat een workaround of maatwerk dat leunde op het oude gedrag onbedoeld breekt.
In dezelfde periode publiceerde Drupal nog een aparte kritieke RCE advisory voor de Entity List module (CVE-2026-108099). Ook daar gelden vergelijkbare voorwaarden, inclusief een route die zonder login kan werken. Let op: het core-patchen lost dat niet per definitie op, omdat de module apart bijgewerkt moet worden (Drupal vermeldt dat de fix in de module release notes is verwerkt).
Geen tijd om direct te updaten? Dit is de tijdelijke maatregel
Als een organisatie nog niet meteen kan patchen, geeft Drupal een concrete workaround: verwijder of deïnstalleer de Field UI-module (field_ui).
Het advies is daarbij duidelijk: dat biedt bescherming terwijl je update doorvoert. Tegelijk betekent het ook dat de adminpagina’s voor het beheren van velden en weergave niet beschikbaar zijn zolang de module uit staat.
Field UI wordt bovendien standaard geïnstalleerd via het Standard install profile. Dat betekent dat veel sites de module waarschijnlijk wél hebben, tenzij iemand haar bewust heeft verwijderd.
Extra afscherming via WAF (maar niet als vervanging)
Drupal noemt dat Drupal Steward (een web application firewall service met regels geschreven door het Security Team) al enkele bekende aanvalspaden blokkeert. Ook worden dergelijke regels door enkele hosting- of platformleveranciers ingezet voor hun klanten.
Maar: die bescherming dekt niet alles. Drupal benadrukt dat zelfs als je WAF-rules ziet, je alsnog moet updaten. Zie WAF als extra laag, niet als eindoplossing.
Praktisch stappenplan voor beheerders
Wil je dit veilig afhandelen? Gebruik dan een aanpak die past bij jouw releaseproces:
- Inventariseer je Drupal-versie en gebruikte contributed modules.
- Plan patching naar de aanbevolen versies (11.4.10 / 11.3.19 / 10.6.19).
- Controleer custom code die raakt aan Field UI-templates of table rows met region_callback.
- Test admin-functionaliteit na de update (manage fields en manage display).
- Als patchen niet meteen kan: tijdelijk field_ui verwijderen en admin-impact accepteren.
Heb je ook interesse in bredere beveiligingslessen rond Drupal-achtige surface areas, dan kan dit artikel helpen: wat te doen bij een backdoor via een app. Het gaat niet om dezelfde software, maar wel om dezelfde mindset: snelle mitigatie, goed testen en daarna structureel herstellen.
Conclusie
De Field UI RCE-kwetsbaarheid (CVE-2026-108097) is een serieuze dreiging voor Drupal-sites. Hoewel core alleen niet voldoende is om het pad te openen, kunnen contributed modules en soms routes zonder login toch leiden tot server-side code execution.
De oplossing is helder: update naar de gepatchte Drupal-versies (11.4.10, 11.3.19 of 10.6.19). Lukt dat nog niet, dan is field_ui tijdelijk uitschakelen een duidelijke overbrugging. Begin vandaag met inventarisatie en patchplanning, zodat je organisatie niet achterloopt wanneer exploitpaden sneller beschikbaar komen.
Bron: https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html
