14 октября команда безопасности Drupal выпустила исправления для двух критических уязвимостей, позволяющих запускать код на сервере сайта. CVE-2026-108097 находится во встроенном модуле Field UI, а CVE-2026-108099 — в устанавливаемом отдельно модуле Entity List для создания списков сущностей без Views. Сами по себе ядро и Entity List не дают атаковать сайт напрямую, однако дополнительные модули или собственный код могут открыть доступ к уязвимым функциям. Для каждой ошибки известен путь эксплуатации без учётной записи.
Для поддерживаемых веток ядра выпущены Drupal 11.4.10, 11.3.19 и 10.6.19. Предварительную ветку Drupal 12 нужно обновить до 12.0.0-beta2, но она не предназначена для рабочих сайтов. Entity List требует отдельного обновления до версии 3.0.10: установка исправленного ядра этот модуль не обновляет. После установки патчей администраторам следует проверить собственный код, использующий #region_callback, а также протестировать страницы управления полями и их отображением.
Если ядро нельзя обновить сразу, Drupal рекомендует временно удалить модуль Field UI (field_ui). Это защищает от известного пути атаки, но отключает административные страницы управления полями. Drupal Steward уже блокирует часть известных вариантов эксплуатации, однако не заменяет обновление. The Hacker News сообщало, что на 15 октября публичного кода эксплуатации и сообщений об атаках не было; ранее команда Drupal предупреждала, что эксплойты могут появиться в течение нескольких часов или дней после раскрытия уязвимостей.