Drupal heeft op 14 oktober twee kritieke kwetsbaarheden verholpen waarmee aanvallers op afstand code konden uitvoeren: één in de Field UI-module van Drupal core en één in de veelgebruikte contributed module Entity List. Daarnaast dichtte het drie minder ernstige cross-site-scripting-fouten, in de core-modules Navigation en Link en in het populaire beheerthema Gin. Het Nederlandse Nationaal Cyber Security Centrum nam de patches op 19 oktober over in advisory NCSC-2026-0438, met daarin alle vijf de componenten gebundeld.
De zwaarste fout, CVE-2026-108097 (SA-CORE-2026-014), zit in de Field UI-module en krijgt van Drupal’s eigen risicoclassificatie de hoogste score op de schaal die het team hanteert: 19 van de 25 punten, kritiek. Drupal core is op zichzelf niet direct exploiteerbaar, maar via contributed modules bestaan meerdere ernstige aanvalspaden, waarvan minstens één zonder dat een aanvaller hoeft in te loggen. Ook eigen, zelfgeschreven code kan de kwetsbare functionaliteit blootstellen. Getroffen zijn alle Drupal-versies van 8.9.0 tot en met 10.6.19, 11.0.0 tot en met 11.3.19, 11.4.0 tot en met 11.4.10, en de pre-releases van Drupal 12 tot en met 12.0.0-beta2. Wie niet meteen kan updaten naar 10.6.19, 11.3.19 of 11.4.10, kan als tijdelijke maatregel de core-module Field UI (field_ui) verwijderen.
De tweede kritieke fout, CVE-2026-108099 (SA-CONTRIB-2026-218), zit in Entity List, een module waarmee sitebeheerders lijsten van entiteiten kunnen samenstellen zonder de zwaardere Views-module te gebruiken. Het risicopatroon is hetzelfde: core of de module alleen is niet direct kwetsbaar, maar in combinatie met andere contributed modules bestaat minstens één aanvalsroute die geen authenticatie vereist. Een update van Drupal core verhelpt deze fout niet; sites met Entity List moeten de module apart bijwerken naar versie 3.0.10.
De drie overige advisories betreffen cross-site scripting. CVE-2026-108515 (SA-CORE-2026-015) in de Link-module krijgt een risicoscore van 13 van de 25, matig kritiek: de module ontsmet bepaalde opmaak in sommige situaties onvoldoende. SA-CORE-2026-016 in de Navigation-module en CVE-2026-110738 (SA-CONTRIB-2026-219) in het Gin-beheerthema zijn vergelijkbare XSS-fouten, waarbij misbruik vereist dat een aanvaller al een rol heeft met rechten om bepaalde HTML-attributen in te voeren, of de rechten om menu’s te beheren. Dat maakt deze drie fouten beduidend minder acuut dan de twee RCE’s.
Drupal had al op 12 oktober gewaarschuwd, in aankondiging PSA-2026-10-12, dat na het verschijnen van de patches binnen uren tot dagen werkende exploitcode kon opduiken. Die waarschuwing woog zwaar: Drupal draait achter meer dan een miljoen websites, met een bovengemiddeld aandeel overheden, universiteiten en non-profitorganisaties. Sites die Drupal Steward gebruiken, zijn tegen een deel van de bekende aanvalsroutes al beschermd, maar niet tegen alle mogelijke exploits.
Voor Nederlandse beheerders is de volgorde duidelijk: update Drupal core naar de nieuwste patchversie binnen de eigen release-branch en werk de Entity List-module apart bij, ook als de core-update al is doorgevoerd. Kan een update niet binnen een dag of twee, verwijder dan Field UI als noodmaatregel totdat dat wel lukt. De drie XSS-fixes zijn minder urgent, maar horen wel in dezelfde onderhoudsronde thuis.
Bron: NCSC-NL Advisories, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert u een Drupal-site? Update core naar 10.6.19, 11.3.19 of 11.4.10 en werk de Entity List-module bij naar 3.0.10. Kan dat niet meteen, schakel dan tijdelijk de core-module Field UI uit. Drupal waarschuwde vooraf dat exploitcode snel kon verschijnen, dus stel dit niet uit tot de volgende onderhoudsronde.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.