Drupal heeft meerdere beveiligingspatches doorgevoerd, waaronder twee kwetsbaarheden met kritieke ernst die kunnen leiden tot remote code execution (RCE). Hoewel Drupal aangeeft dat de kernmodules niet op zichzelf misbruikt kunnen worden, bestaan er exploitpaden wanneer bepaalde extra (contributed) modules of maatwerk code worden gebruikt. Dit betekent dat het Drupal RCE-risico voor veel omgevingen relevanter kan zijn dan de “baseline” van Drupal alleen doet vermoeden.
Daarnaast zijn er fixes voor verschillende XSS-kwetsbaarheden (cross-site scripting) in zowel core als een themacomponent, en adviseert Drupal om ruimte in te plannen voor core-updates. In dit artikel zet ik de belangrijkste punten op een rij en wat je praktisch kunt doen.
Welke kwetsbaarheden spelen er bij Drupal?
Drupal rolt patches uit voor vijf kwetsbaarheden. Twee daarvan krijgen de hoogste prioriteit omdat ze een route naar RCE kunnen vormen.
CVE-2026-108099: Entity List (kritiek, met exploitpaden)
De eerste kritieke bug zit in de Entity List-module en is geregistreerd als CVE-2026-108099. Deze module stelt gebruikers in staat om lijsten van entities te maken zonder gebruik van Views. Volgens Drupal is de kwetsbaarheid niet direct exploiteerbaar met alleen deze module, maar er zijn bekende exploitpaden mogelijk via andere contributed modules.
Drupal waarschuwt daarbij specifiek dat er ten minste één exploitpad kan bestaan dat geen authenticatie vereist. Ook merkt Drupal op dat custom code de kwetsbare functionaliteit mogelijk extra toegankelijk kan maken.
CVE-2026-108097: Field UI in Drupal core (kritiek, met contributed modules)
De tweede kritieke RCE-bug ligt in de Field UI-module in Drupal core en draagt CVE-2026-108097. Ook hier geldt: Drupal geeft aan dat de kwetsbaarheid niet exploiteerbaar is met Drupal core alleen, maar dat contributed modules serieuze exploitpaden kunnen aanreiken.
Ook hiervoor noemt Drupal dat er een exploitroute kan zijn die geen authenticatie vereist. Als mitigatie noemt Drupal bovendien een duidelijke maatregel: verwijder (uninstall) de core Field UI module. Dat is vooral zinvol als je die functionaliteit niet nodig hebt.
Snelle uitbuiting: wat Drupal expliciet waarschuwt
Drupal heeft in zijn communicatie aangegeven dat er geen signalen zijn dat deze kwetsbaarheden al actief worden uitgebuit in het wild. Toch is de toon van de waarschuwing belangrijk: op 12 oktober drong Drupal aan om tijd vrij te maken voor core-updates, omdat exploits binnen uren of dagen ontwikkeld kunnen worden.
Dat is precies het soort scenario waarbij organisaties het risico onderschatten op basis van “niet zichtbaar in logs” of “we hebben geen misbruik gemeld gezien”. Juist bij core-kwetsbaarheden met mogelijke exploitketens is een tijdige patchcyclus cruciaal om het Drupal RCE-risico snel te beperken.
Welke updates moet je installeren?
Drupal adviseert om naar de volgende versies te updaten:
- Entity List: update naar versie 3.0.10.
- Drupal core: update naar 11.4.10, 11.3.19 of 10.6.19.
Belangrijk hierbij: eerdere Drupal-releases zijn volgens Drupal end-of-life geraakt en krijgen geen beveiligingsupdates meer. Als je omgeving op zo’n versie draait, is “patchen” in de praktijk dus een upgrade naar een ondersteunde versie.
Ook XSS-kwetsbaarheden zijn gerepareerd
Naast de RCE-issues pakt Drupal ook meerdere XSS-gaten aan. Dit zijn kwetsbaarheden die aanvallers kunnen gebruiken om kwaadaardige scripts in de browser van gebruikers te laten uitvoeren (bijvoorbeeld via gemanipuleerde pagina-inhoud).
De updates lossen onder meer problemen op in de core Link module en in de Navigation module, met als registratie CVE-2026-108515 (Link) en CVE-2026-108514 (Navigation). Daarnaast is er een security defect opgelost in het administration theme Gin, dat kan leiden tot XSS-aanvallen.
Voor Gin gelden specifieke versies waarin de fix zit: Gin 5.0.16 en Gin 4.1.4.
Wat kun je nu doen? (Praktische checklist)
Als je vandaag nog een actieplan wilt maken om het Drupal RCE-risico te verkleinen, helpt deze volgorde meestal goed:
1) Valideer je huidige Drupal- en moduleversies
Inventariseer welke Drupal-versie je draait en welke contributed modules actief zijn. Let daarbij extra op modules die qua functies koppelen aan “entity lists” of Field UI-achtige workflows.
2) Update Entity List en Drupal core naar de aanbevolen versies
Voer de updates uit naar Entity List 3.0.10 en de core versies 11.4.10, 11.3.19 of 10.6.19. Plan dit bij voorkeur buiten “ad hoc” vensters, omdat Drupal zelf aangeeft dat er snel exploitontwikkeling kan volgen.
3) Overweeg de Field UI module uit te schakelen of te verwijderen
Als je geen nood hebt aan Field UI, volg dan de mitigatie uit de Drupal-aanbeveling en uninstall de core Field UI module. Dat verkleint de blootstelling aan het RCE-exploitpad.
4) Beoordeel maatwerk en integraties
Drupal merkt op dat custom code kwetsbare functionaliteit kan blootstellen. Controleer dus ook maatwerk dat met entity lijsten, velden of admin-interfaces te maken heeft.
5) Combineer patchen met verificatie
Na de update is het verstandig om zowel functionele regressietests als security checks te doen. Denk aan het verifiëren dat adminpagina’s (inclusief Gin-thema) normaal werken en dat verwachte output niet afwijkt.
Waarom “niet in het wild” niet genoeg is
Veel teams wachten op harde aanwijzingen van actieve exploitatie, maar Drupal combineert in deze update een belangrijk risico-element met een realistische tijdlijn: exploitketens kunnen snel worden ontwikkeld, zeker wanneer er exploitpaden zijn via veelgebruikte contributed modules. Zelfs als je nu geen verdachte activiteit ziet, is het doel om vóór die tijd de aanvalsvector weg te nemen.
Als je bredere context zoekt over hoe snelle exploitatie en incidentketens in de praktijk tot gevolgen leiden, zijn deze gerelateerde artikelen nuttig:
- Wat een gecompromitteerde login betekent voor je securityaanpak
- Van losse alerts naar actie: context in je cybersecurityproces
- MITRE ATT&CK: hoe dreigingen zich door je omgeving bewegen
Conclusie
Het Drupal RCE-risico wordt in deze update serieus genomen: Drupal publiceert patches voor vijf kwetsbaarheden, inclusief twee kritieke RCE-bugs (CVE-2026-108099 en CVE-2026-108097) met mogelijke exploitpaden via contributed modules. Hoewel er volgens Drupal geen misbruik in het wild is gemeld, benadrukt de organisatie dat exploits binnen uren of dagen ontwikkeld kunnen worden.
Werk daarom nu gestructureerd: update Entity List naar 3.0.10, upgrade Drupal naar 11.4.10, 11.3.19 of 10.6.19 en overweeg de Field UI module te verwijderen als je die niet gebruikt. Door die stappen snel door te voeren, verlaag je de kans op impact aanzienlijk en maak je je omgeving weer toekomstbestendig.
Bron: https://www.securityweek.com/drupal-warns-of-fast-exploitation-risk-for-critical-core-rce-flaw/
