Drupal hat zwei kritische Sicherheitslücken geschlossen, über die Angreifer Schadcode auf Webservern ausführen können. Die Schwachstellen betreffen das Field-UI-Modul im Drupal-Core sowie das Beitragsmodul Entity List. Das Projekt-Sicherheitsteam warnte Administratoren bereits zu Wochenbeginn mit Nachdruck: Öffentliche Exploits könnten binnen Stunden oder Tagen nach der Offenlegung auftauchen, weshalb ein Update dringend vor dem 14. Oktober empfohlen wurde.
Drupal schließt kritische RCE-Lücken: Zwei Angriffswege im Detail
Die erste Schwachstelle (CVE-2026-108097) steckt im Field-UI-Modul des Drupal-Cores. Dieses Modul ermöglicht die Verwaltung von Feldern und Formulardarstellungen über die Weboberfläche. Wie das Sicherheitsteam präzisiert, ist der Fehler allein mit dem Drupal-Core nicht ausnutzbar. Angreifer benötigen zusätzliche Komponenten: Bestimmte Beitragsmodule bieten jedoch mehrere Angriffspfade, von denen mindestens einer vollständig ohne Authentifizierung funktioniert. Auch individuell entwickelter Code für eigene Websites kann die verwundbare Funktion freilegen.
Die zweite Lücke (CVE-2026-108099) betrifft das Beitragsmodul Entity List, das Webentwicklern erlaubt, Entitätslisten ohne den Einsatz des Views-Moduls zu erstellen. Auch hier gilt: Der Fehler ermöglicht Remote Code Execution, benötigt aber – genau wie beim Field-UI-Modul – ein Zusammenspiel mit zusätzlichen Modulen oder individuellem Code. Das Sicherheitsteam bestätigt mindestens einen bekannten Ausnutzungspfad, der ohne vorherige Anmeldung funktioniert.
Die Bedeutung von Remote Code Execution für betroffene Websites
Remote Code Execution zählt zu den schwerwiegendsten Sicherheitsfehlern, die ein Content-Management-System haben kann. Gelingt die Ausnutzung, erlangen Angreifer vollständige Kontrolle über den Webserver – das geht weit über einen einfachen Zugriff auf das Admin-Panel hinaus. Sie können Schadsoftware installieren, Datenbanken auslesen oder manipulieren, bestehende Inhalte verändern und den Server als Sprungbrett für weitere Angriffe innerhalb des Netzwerks nutzen. Gerade weil Drupal häufig von Regierungsbehörden, Universitäten und Non-Profit-Organisationen eingesetzt wird, ist die Bedrohungslage ernst zu nehmen. Diese Einrichtungen verarbeiten oft sensible Daten und verfügen über komplexe IT-Strukturen, in denen sich ein kompromittierter Server weitreichend auswirken kann.
Betroffene Versionen und Patch-Pfade
Das Drupal-Sicherheitsteam betont, dass alle aktuell unterstützten Versionen des Drupal-Cores verwundbar sind. Gleichzeitig wird deutlich, wie wichtig es ist, nicht mit ausgereizten Releases zu arbeiten: Alle Versionen vor 10.6.x sowie sämtliche Drupal-11-Versionen vor 11.3.x haben das Ende ihrer Lebenszeit erreicht und erhalten keine Sicherheitsupdates mehr. Für Administratoren, die noch auf diesen alten Zweigen arbeiten, ist der Upgrade-Pfad daher unumgänglich.
| Komponente | Verwundbare Versionen | Sichere Versionen |
|---|---|---|
| Drupal Core 10 | 10.0 bis 10.6.18 | 10.6.19 |
| Drupal Core 11 | 11.0 bis 11.3.18 sowie 11.4.0 bis 11.4.9 | 11.3.19 oder 11.4.10 |
| Entity List (Beitragsmodul) | alle Versionen vor 3.0.10 | 3.0.10 |
Auch Drupal-12-Vorabversionen vor Beta 2 sind von den Schwachstellen betroffen. Diese Releases sind jedoch nicht für den Produktivbetrieb gedacht. Die finale stabile Version 12.0 wird beide Fehler bereits behoben mitbringen. Administratoren, die eine Beta testen, sollten auf Beta 2 oder eine neuere Vorabversion wechseln.
Sofortmaßnahmen: Deinstallation als wirksamer Schutz
Die erste Empfehlung an alle Betreiber lautet, den Drupal-Core unverzüglich auf eine der genannten sicheren Versionen zu aktualisieren. Anschließend muss das Entity-List-Modul auf Version 3.0.10 gebracht werden. Wer aus bestimmten Gründen nicht sofort aktualisieren kann, hat eine wirksame Alternative: Das Field-UI-Modul des Cores lässt sich deinstallieren. Da die Schwachstelle dort ihren Ausgangspunkt nimmt, schließt die Deinstallation des Moduls den kritischen Angriffsweg – vorausgesetzt, keine anderen Module oder eigener Code nutzen die betroffene Funktionalität.
Eine gewisse Vorsicht ist auch gegenüber dem Drupal-Steward-Schutzdienst geboten. Dieser Webschutz filtert bekannte Angriffsmuster und kann einzelne Exploit-Versuche abfangen. Das Sicherheitsteam weist jedoch ausdrücklich darauf hin, dass Drupal Steward nicht jeden erdenklichen Angriff abdeckt. Insbesondere neuartige oder auf individuellen Code zugeschnittene Exploits könnten den Schutzdienst umgehen. Die einzige belastbare Lösung bleibt daher die Aktualisierung auf die korrigierten Versionen.
Warum das Timing so kritisch ist
Die Warnung des Sicherheitsteams, Exploits könnten innerhalb von Stunden oder Tagen entstehen, ist kein dramatisierender Hinweis. Bei RCE-Schwachstellen in verbreiteten Open-Source-Projekten ist ein schnelles Ausnutzen nach der Veröffentlichung eines Advisories inzwischen der Normalfall. Automatisierte Scan-Werkzeuge und Exploit-Frameworks greifen neu bekannte Schwachstellen regelmäßig innerhalb kürzester Zeit auf. Zudem verschärft die Tatsache, dass eine Schwachstelle ohne Authentifizierung ausnutzbar ist, die Lage erheblich: Angreifer müssen weder Zugangsdaten stehlen noch sich in einem administrativen Kontext bewegen. Für Sicherheitsverantwortliche bedeutet das, dass nicht nur Kernsysteme geprüft werden sollten. Auch alle installierten Beitragsmodule und sämtlicher Custom Code gehören auf den Prüfstand, um mögliche Interaktionspfade mit den verwundbaren Komponenten zu identifizieren. Drupal bleibt mit über einer Million aktiven Installationen ein sehr lohnendes Ziel für Angreifer – und dieses Mal könnte die Reaktionszeit entscheidend sein. Wer die genannten Updates jetzt einspielt, kann die offenen Fenster schließen, bevor sich Exploits in freier Wildbahn verbreiten.
