Drupal heeft een kritieke kwetsbaarheid in de Field UI-component gepatcht die een aanvaller in staat kan stellen code op de server uit te voeren. De issue wordt aangeduid als Drupal Field UI RCE (CVE-2026-108097) en speelt niet alleen in Drupal core: Drupal meldt dat meerdere exploitpaden via contributed modules mogelijk zijn.
Het belangrijkste: er zijn fixes beschikbaar in specifieke Drupal-branches. Tegelijk waarschuwt Drupal dat het om een complex pad kan gaan waarbij login mogelijk niet altijd nodig is, afhankelijk van de gebruikte modules en configuratie.
Wat is er precies mis in Field UI?
Field UI is het Drupal-onderdeel dat de beheerpagina’s ondersteunt waar sitebouwers velden beheren en hoe die velden worden weergegeven. De kwetsbaarheid (CVE-2026-108097) zit in dit mechanisme.
Volgens het Drupal Security Team kan een aanvaller code laten draaien op de server via een weg die Field UI bereikt. Daarbij geldt dat Field UI alleen in core niet per se voldoende is om het probleem direct te misbruiken. De beveiligingsadvisory beschrijft dat contributed modules de deur kunnen openzetten door de kwetsbare code-route te activeren.
Drupal beschrijft het risico op zijn eigen schaal als kritiek (19 van de 25).
Door welke versies wordt het opgelost?
Drupal heeft beveiligingsupdates geleverd voor meerdere ondersteunde takken. Werk bij naar één van de volgende versies:
- Drupal 11.4.x: update naar 11.4.10
- Drupal 11.3.x: update naar 11.3.19
- Drupal 10.6.x: update naar 10.6.19
Daarnaast geldt:
- Drupal 12.0.0 beta: 12.0.0-beta2 (niet bedoeld voor productie)
- Geen fix beschikbaar voor Drupal 11.2.x en lager, 10.5.x en lager en Drupal 8 en 9 (respectievelijk end-of-life)
Let ook op security coverage: zowel 11.3.x als 10.6.x verliezen in december 2026 hun security support, dus plan je upgradepad verder door.
Waarom is dit ernstig? De kern van de aanvalsmogelijkheid
De kwetsbaarheid draait om het renderen van admin-tabellen in Field UI. Field UI bouwt die tabellen via render arrays: PHP-structuren die Drupal omzet naar HTML.
In de situatie vóór de fix liep een pre-render-stap door bepaalde waarden en kon daarbij een PHP call functie worden aangeroepen die in een specifieke eigenschap stond. Drupal geeft aan dat er destijds geen controle plaatsvond op welke callback er precies werd uitgevoerd binnen deze route.
Drupal’s renderer weigert normaal gesproken al sinds 8.8 (2019) om onbetrouwbare render-callbacks uit te voeren. Het probleem was dat de kwetsbare logica buiten die beschermingslaag kon vallen door de manier waarop de tabelpre-render stap werd uitgevoerd.
In de aangepaste code (11.4.10) wordt de callback niet langer aangeroepen. In plaats daarvan leest de aangepaste versie de “region” van de rij zelf, en gebruikt ze een verborgen tabelregion of de eerste region wanneer die waarde niet bekend is.
Wat betekent dit voor jouw configuratie?
Drupal benadrukt dat custom code óók een rol kan spelen. In core is de callback alleen ingesteld door Field UI zelf in zijn display-formulieren. Maar ontwikkelaars kunnen in hun eigen code (of via aangepaste modules) waarden zetten zoals #region_callback op rijen van een field_ui_table. Na de update wordt die callback-regel niet meer uitgevoerd.
Praktisch advies van Drupal: na het bijwerken moet je testen of de pagina’s voor beheren van velden en beheer van weergave werken zoals verwacht.
Tijdelijke mitigatie: Field UI uitschakelen
Kun je nog niet meteen updaten? Dan geeft Drupal een bruikbare noodmaatregel: verwijder (of schakel uit) het Field UI-module via het uninstall-proces. Volgens de advisory zorgt dat voor bescherming totdat je update uitvoert.
Wel heeft dit effect op je beheeromgeving: de adminpagina’s voor het beheren van velden en hun weergave zijn dan niet beschikbaar.
Let op: Field UI wordt standaard geïnstalleerd door het Standard install profile. Dat betekent dat je site het waarschijnlijk in gebruik hebt als je niet bewust modules hebt weggehaald.
WAF-bescherming helpt, maar is geen vervanging voor patchen
Drupal Steward (een web application firewall-dienst met regels geschreven door het Security Team) blokkeert al enkele bekende aanvalspaden. Sommige hosting-/managed platformen draaien die bescherming ook voor hun klanten.
Maar Drupal is duidelijk: de WAF dekt niet alle mogelijke exploitvarianten. Daarom blijft updaten de primaire oplossing.
Een kanttekening: de advisory vermeldt dat er op het moment van publicatie geen openbaar exploitcode bekend was, en dat er ook geen publiek beschreven aanvallen waren met deze specifieke route. Tegelijk is de tijd tussen advisory en mogelijke ontwikkeling van exploits volgens Drupal soms kort.
Drupal kondigde de release vooraf aan en adviseerde sites om tijd te reserveren, omdat exploits binnen uren of dagen kunnen ontstaan.
Gerelateerd: ook andere kritieke RCE in Drupal core
Naast CVE-2026-108097 noemt Drupal nog een separate, kritieke remote code execution kwetsbaarheid: CVE-2026-108099 in het Entity List-module.
Ook hier geldt volgens de advisory dat er sprake is van vergelijkbare voorwaarden en een pad dat naar verwachting zonder login kan werken. Update van Drupal core alleen lost dit echter niet automatisch op, omdat de fix apart in de moduleversie zit. De release noemt 3.0.10 als relevante versie voor Entity List.
Daarnaast zijn in dezelfde core-releases ook twee matig-kritische cross-site scripting issues gerepareerd in de Link– en Navigation-modules (met minimaal een ingelogde gebruiker als voorwaarde).
Concrete stappen voor beveiliging
Om de impact van Drupal Field UI RCE te beperken, kun je deze volgorde aanhouden:
- Inventariseer je Drupal-versie en bepaal welke branch je gebruikt.
- Werk direct bij naar 11.4.10, 11.3.19 of 10.6.19 (afhankelijk van jouw versie).
- Controleer contributed modules: omdat het exploitpad via modules kan lopen, is module-inventarisatie essentieel.
- Zoek in custom code naar het zetten van #region_callback op field_ui-table rijen.
- Test daarna de beheerpagina’s voor velden en weergave.
- Als je nog niet kunt patchen: overweeg Field UI te verwijderen als tijdelijke mitigatie, met het bijbehorende verlies aan beheerfunctionaliteit.
Conclusie
De update voor Drupal Field UI RCE (CVE-2026-108097) is geen “nice to have”, maar een noodzakelijke correctie voor sites die Field UI gebruiken, zeker als er contributed modules (of custom code) in het spel zijn. Door snel naar de genoemde versies te upgraden en je beheerfunctionaliteit te testen, verklein je de kans op server-side impact aanzienlijk.
Wil je daarnaast bredere context over RCE-incidenten en aanvalspaden in open-source omgevingen? Lees dan ook eens hoe Langflow misbruikt werd met een RCE-lek om te zien waarom snelle patching en modulecontrole zo belangrijk zijn.
Bron: https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html
