{"id":55525,"date":"2026-10-18T14:20:23","date_gmt":"2026-10-18T12:20:23","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55525"},"modified":"2026-10-18T14:20:23","modified_gmt":"2026-10-18T12:20:23","slug":"drupal-kritische-rce-luecken-exploits-55525","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/drupal-kritische-rce-luecken-exploits-55525\/","title":{"rendered":"Drupal schlie\u00dft kritische RCE-L\u00fccken, Exploits drohen"},"content":{"rendered":"

Drupal<\/a> hat zwei kritische Sicherheitsl\u00fccken geschlossen, \u00fcber die Angreifer Schadcode auf Webservern ausf\u00fchren k\u00f6nnen. Die Schwachstellen betreffen das Field-UI-Modul im Drupal-Core sowie das Beitragsmodul Entity List. Das Projekt-Sicherheitsteam warnte Administratoren bereits zu Wochenbeginn mit Nachdruck: \u00d6ffentliche Exploits k\u00f6nnten binnen Stunden oder Tagen nach der Offenlegung auftauchen, weshalb ein Update dringend vor dem 14. Oktober empfohlen wurde.<\/p>\n

Drupal schlie\u00dft kritische RCE-L\u00fccken: Zwei Angriffswege im Detail<\/h2>\n

Die erste Schwachstelle (CVE-2026-108097) steckt im Field-UI-Modul des Drupal-Cores. Dieses Modul erm\u00f6glicht die Verwaltung von Feldern und Formulardarstellungen \u00fcber die Weboberfl\u00e4che. Wie das Sicherheitsteam pr\u00e4zisiert, ist der Fehler allein mit dem Drupal-Core nicht ausnutzbar. Angreifer ben\u00f6tigen zus\u00e4tzliche Komponenten: Bestimmte Beitragsmodule bieten jedoch mehrere Angriffspfade, von denen mindestens einer vollst\u00e4ndig ohne Authentifizierung funktioniert. Auch individuell entwickelter Code f\u00fcr eigene Websites kann die verwundbare Funktion freilegen.<\/p>\n

Die zweite L\u00fccke (CVE-2026-108099) betrifft das Beitragsmodul Entity List, das Webentwicklern erlaubt, Entit\u00e4tslisten ohne den Einsatz des Views-Moduls zu erstellen. Auch hier gilt: Der Fehler erm\u00f6glicht Remote Code Execution, ben\u00f6tigt aber \u2013 genau wie beim Field-UI-Modul \u2013 ein Zusammenspiel mit zus\u00e4tzlichen Modulen oder individuellem Code. Das Sicherheitsteam best\u00e4tigt mindestens einen bekannten Ausnutzungspfad, der ohne vorherige Anmeldung funktioniert.<\/p>\n

Die Bedeutung von Remote Code Execution f\u00fcr betroffene Websites<\/h3>\n

Remote Code Execution z\u00e4hlt zu den schwerwiegendsten Sicherheitsfehlern, die ein Content-Management-System haben kann. Gelingt die Ausnutzung, erlangen Angreifer vollst\u00e4ndige Kontrolle \u00fcber den Webserver \u2013 das geht weit \u00fcber einen einfachen Zugriff auf das Admin-Panel hinaus. Sie k\u00f6nnen Schadsoftware installieren, Datenbanken auslesen oder manipulieren, bestehende Inhalte ver\u00e4ndern und den Server als Sprungbrett f\u00fcr weitere Angriffe innerhalb des Netzwerks nutzen. Gerade weil Drupal h\u00e4ufig von Regierungsbeh\u00f6rden, Universit\u00e4ten und Non-Profit-Organisationen eingesetzt wird, ist die Bedrohungslage ernst zu nehmen. Diese Einrichtungen verarbeiten oft sensible Daten und verf\u00fcgen \u00fcber komplexe IT-Strukturen, in denen sich ein kompromittierter Server weitreichend auswirken kann.<\/p>\n

Betroffene Versionen und Patch-Pfade<\/h2>\n

Das Drupal-Sicherheitsteam betont, dass alle aktuell unterst\u00fctzten Versionen des Drupal-Cores verwundbar sind. Gleichzeitig wird deutlich, wie wichtig es ist, nicht mit ausgereizten Releases zu arbeiten: Alle Versionen vor 10.6.x sowie s\u00e4mtliche Drupal-11-Versionen vor 11.3.x haben das Ende ihrer Lebenszeit erreicht und erhalten keine Sicherheitsupdates mehr. F\u00fcr Administratoren, die noch auf diesen alten Zweigen arbeiten, ist der Upgrade-Pfad daher unumg\u00e4nglich.<\/p>\n\n\n\n\n\n
Komponente<\/th>\nVerwundbare Versionen<\/th>\nSichere Versionen<\/th>\n<\/tr>\n
Drupal Core 10<\/td>\n10.0 bis 10.6.18<\/td>\n10.6.19<\/td>\n<\/tr>\n
Drupal Core 11<\/td>\n11.0 bis 11.3.18 sowie 11.4.0 bis 11.4.9<\/td>\n11.3.19 oder 11.4.10<\/td>\n<\/tr>\n
Entity List (Beitragsmodul)<\/td>\nalle Versionen vor 3.0.10<\/td>\n3.0.10<\/td>\n<\/tr>\n<\/table>\n

Auch Drupal-12-Vorabversionen vor Beta 2 sind von den Schwachstellen betroffen. Diese Releases sind jedoch nicht f\u00fcr den Produktivbetrieb gedacht. Die finale stabile Version 12.0 wird beide Fehler bereits behoben mitbringen. Administratoren, die eine Beta testen, sollten auf Beta 2 oder eine neuere Vorabversion wechseln.<\/p>\n

Sofortma\u00dfnahmen: Deinstallation als wirksamer Schutz<\/h2>\n

Die erste Empfehlung an alle Betreiber lautet, den Drupal-Core unverz\u00fcglich auf eine der genannten sicheren Versionen zu aktualisieren. Anschlie\u00dfend muss das Entity-List-Modul auf Version 3.0.10 gebracht werden. Wer aus bestimmten Gr\u00fcnden nicht sofort aktualisieren kann, hat eine wirksame Alternative: Das Field-UI-Modul des Cores l\u00e4sst sich deinstallieren. Da die Schwachstelle dort ihren Ausgangspunkt nimmt, schlie\u00dft die Deinstallation des Moduls den kritischen Angriffsweg \u2013 vorausgesetzt, keine anderen Module oder eigener Code nutzen die betroffene Funktionalit\u00e4t.<\/p>\n

Eine gewisse Vorsicht ist auch gegen\u00fcber dem Drupal-Steward-Schutzdienst geboten. Dieser Webschutz filtert bekannte Angriffsmuster und kann einzelne Exploit-Versuche abfangen. Das Sicherheitsteam weist jedoch ausdr\u00fccklich darauf hin, dass Drupal Steward nicht jeden erdenklichen Angriff abdeckt. Insbesondere neuartige oder auf individuellen Code zugeschnittene Exploits k\u00f6nnten den Schutzdienst umgehen. Die einzige belastbare L\u00f6sung bleibt daher die Aktualisierung auf die korrigierten Versionen.<\/p>\n

Warum das Timing so kritisch ist<\/h2>\n

Die Warnung des Sicherheitsteams, Exploits k\u00f6nnten innerhalb von Stunden oder Tagen entstehen, ist kein dramatisierender Hinweis. Bei RCE-Schwachstellen in verbreiteten Open-Source-Projekten ist ein schnelles Ausnutzen nach der Ver\u00f6ffentlichung eines Advisories inzwischen der Normalfall. Automatisierte Scan-Werkzeuge und Exploit-Frameworks greifen neu bekannte Schwachstellen regelm\u00e4\u00dfig innerhalb k\u00fcrzester Zeit auf. Zudem versch\u00e4rft die Tatsache, dass eine Schwachstelle ohne Authentifizierung ausnutzbar ist, die Lage erheblich: Angreifer m\u00fcssen weder Zugangsdaten stehlen noch sich in einem administrativen Kontext bewegen. F\u00fcr Sicherheitsverantwortliche bedeutet das, dass nicht nur Kernsysteme gepr\u00fcft werden sollten. Auch alle installierten Beitragsmodule und s\u00e4mtlicher Custom Code geh\u00f6ren auf den Pr\u00fcfstand, um m\u00f6gliche Interaktionspfade mit den verwundbaren Komponenten zu identifizieren. Drupal bleibt mit \u00fcber einer Million aktiven Installationen ein sehr lohnendes Ziel f\u00fcr Angreifer \u2013 und dieses Mal k\u00f6nnte die Reaktionszeit entscheidend sein. Wer die genannten Updates jetzt einspielt, kann die offenen Fenster schlie\u00dfen, bevor sich Exploits in freier Wildbahn verbreiten.<\/p>\n","protected":false},"excerpt":{"rendered":"

Drupal hat zwei kritische Sicherheitsl\u00fccken geschlossen, \u00fcber die Angreifer Schadcode auf Webservern ausf\u00fchren k\u00f6nnen. Die Schwachstellen betreffen das Field-UI-Modul im Drupal-Core sowie das Beitragsmodul Entity List. Das Projekt-Sicherheitsteam warnte Administratoren bereits zu Wochenbeginn mit Nachdruck: \u00d6ffentliche Exploits k\u00f6nnten binnen Stunden oder Tagen nach der Offenlegung auftauchen, weshalb ein Update dringend vor dem 14. Oktober empfohlen […]<\/p>\n","protected":false},"author":5,"featured_media":55527,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55525.png","fifu_image_alt":"Drupal schlie\u00dft kritische RCE-L\u00fccken, Exploits drohen","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55525","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55525.png","fifu_image_alt":"Drupal schlie\u00dft kritische RCE-L\u00fccken, Exploits drohen","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55525"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55525\/revisions"}],"predecessor-version":[{"id":55526,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55525\/revisions\/55526"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55527"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}