Drupal ออกแพตช์แก้ไขช่องโหว่ RCE ระดับ Critical และเตือนว่าอาจมีการพัฒนาเครื่องมือโจมตีในเร็ว ๆ นี้อ - Thailand Computer Emergency Response Team (ThaiCERT)

569/69 (IT) ประจำวันจันทร์ที่ 19 ตุลาคม 2569

Drupal ผู้พัฒนาระบบจัดการเนื้อหาเว็บไซต์แบบ Open Source หรือ Content Management System (CMS) ออกอัปเดตเพื่อแก้ไขช่องโหว่ Remote Code Execution (RCE) ระดับ Critical จำนวน 2 รายการ ที่อาจทำให้ผู้โจมตีสามารถดำเนินการคำสั่งบน Server ที่ได้รับผลกระทบได้ โดยช่องโหว่ดังกล่าวเกี่ยวข้องกับ Field UI Module ซึ่งเป็นส่วนประกอบของ Drupal Core และ Entity List Module ซึ่งเป็นโมดูลเสริมที่ใช้สร้างรายการข้อมูลโดยไม่ต้องอาศัย Views ทั้งนี้ Drupal Security Team ได้ออกประกาศแจ้งเตือนล่วงหน้าเมื่อวันที่ 12 ตุลาคม 2569 โดยระบุว่าผู้ไม่หวังดีอาจพัฒนา Exploit เพื่อใช้โจมตีช่องโหว่เหล่านี้ภายในเวลาเพียงไม่กี่ชั่วโมงหรือไม่กี่วันหลังเปิดเผยรายละเอียด จึงแนะนำให้ผู้ดูแลเว็บไซต์เตรียมดำเนินการอัปเดตโดยเร็ว

ช่องโหว่แรกคือ CVE-2026-108097 เป็นช่องโหว่ RCE ใน Field UI Module ของ Drupal Core ซึ่งส่งผลกระทบต่อ Drupal Core ทุกเวอร์ชันที่ยังได้รับการสนับสนุน โดยการใช้ประโยชน์จากช่องโหว่นี้ไม่สามารถดำเนินการผ่าน Drupal Core เพียงอย่างเดียว แต่ต้องอาศัยการทำงานร่วมกับ Contributed Module หรือ Custom Code ที่เกี่ยวข้อง ซึ่งมีรูปแบบการโจมตีอย่างน้อยหนึ่งรูปแบบที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน ส่วนช่องโหว่ที่สองคือ CVE-2026-108099 เป็นช่องโหว่ RCE ใน Entity List Module ซึ่งอาจถูกใช้โจมตีผ่านการทำงานร่วมกับโมดูลเสริมหรือ Custom Code เช่นเดียวกัน และมีรูปแบบการโจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนอย่างน้อยหนึ่งรูปแบบ ส่งผลให้เว็บไซต์ที่ใช้งานส่วนประกอบดังกล่าวมีความเสี่ยงต่อการถูกเข้าควบคุมระบบหากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้สำเร็จ

Drupal แนะนำให้ผู้ดูแลระบบอัปเดต Drupal Core เป็นเวอร์ชัน 10.6.19, 11.3.19 หรือ 11.4.10 ตามเวอร์ชันที่ใช้งาน และอัปเดต Entity List Module เป็นเวอร์ชัน 3.0.10 โดย Drupal เวอร์ชันก่อน 10.6.x และ Drupal 11 เวอร์ชันก่อน 11.3.x สิ้นสุดระยะเวลาการสนับสนุนแล้ว นอกจากนี้ ช่องโหว่ยังส่งผลกระทบต่อ Drupal 12 เวอร์ชันทดสอบก่อน Beta 2 แต่เวอร์ชัน Stable 12.0 จะมีการแก้ไขช่องโหว่ดังกล่าว สำหรับองค์กรที่ยังไม่สามารถอัปเดตได้ Drupal แนะนำให้ถอนการติดตั้ง Field UI Module (field_ui) เพื่อลดความเสี่ยงจากช่องโหว่ในส่วนประกอบดังกล่าว พร้อมระบุว่า Drupal Steward สามารถป้องกันการโจมตีบางรูปแบบที่ทราบแล้ว แต่ไม่ครอบคลุมทุกรูปแบบที่อาจเกิดขึ้น ดังนั้น ผู้ดูแลระบบควรเร่งตรวจสอบเวอร์ชันและติดตั้งแพตช์เพื่อป้องกันความเสี่ยงจากการโจมตีที่อาจเกิดขึ้นในอนาคต

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/drupal-patches-critical-rce-flaws-warns-exploits-may-emerge-soon/

569/69（IT）2026 年 10 月 19 日，星期一。

开源内容管理系统 (CMS) Drupal 的开发商 Drupal 发布更新，修复了两个严重的远程代码执行 (RCE) 漏洞。这两个漏洞可能允许攻击者在受影响的服务器上执行命令。这些漏洞分别与 Drupal 核心组件 Field UI 模块和用于创建数据列表（无需依赖 Views）的附加模块 Entity List 模块相关。Drupal 安全团队于 2026 年 10 月 12 日发布警告，指出恶意攻击者可能在漏洞披露后的数小时或数天内开发出利用程序，并建议网站管理员立即更新系统。

第一个漏洞 CVE-2026-108097 是 Drupal Core 的 Field UI 模块中的一个远程代码执行 (RCE) 漏洞。它影响所有当前受支持的 Drupal Core 版本。仅靠 Drupal Core 无法利用此漏洞；它需要使用贡献模块或相关的自定义代码，并采用至少一种无需身份验证的攻击方法。第二个漏洞 CVE-2026-108099 是 Entity List 模块中的一个远程代码执行 (RCE) 漏洞，也可以通过贡献模块或自定义代码，并采用至少一种无需身份验证的攻击方法来利用。因此，如果攻击者成功利用这些漏洞，使用这些组件的网站将面临系统被入侵的风险。

Drupal 建议管理员将 Drupal Core 更新至 10.6.19、11.3.19 或 11.4.10 版本（具体取决于当前使用的版本），并将实体列表模块更新至 3.0.10 版本。10.6.x 之前的 Drupal 版本以及 11.3.x 之前的 Drupal 11 版本均已停止支持。此外，该漏洞会影响 Drupal 12 的 Beta 2 之前的版本，但稳定版 12.0 将包含修复程序。对于无法更新的组织，Drupal 建议卸载字段 UI 模块 (field_ui)，以降低该组件的漏洞风险。Drupal 还指出，虽然 Drupal Steward 可以防御一些已知的攻击类型，但它并不能涵盖所有潜在攻击。因此，管理员应及时检查版本并安装补丁，以防范未来的攻击。

来源：https://www.bleepingcomputer.com/news/security/drupal-patches-critical-rce-flaws-warns-exploits-may-emerge-soon/