Drupal تصدر تحديثات أمنية لمعالجة ثغرتين خطيرتين لتنفيذ التعليمات البرمجية عن بُعد

أصدرت Drupal تحديثات لمعالجة ثغرتين أمنيتين خطيرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد على المواقع التي تعمل بإصدارات مدعومة من نظام إدارة المحتوى، وفق ما رصدته تقارير أمنية.

تخصّ الثغرة الأولى، المسجّلة بالرمز CVE-2026-108097، وحدة Field UI في نواة Drupal، بينما تخصّ الثانية، المسجّلة بالرمز CVE-2026-108099، وحدة Entity List المساهمة. وأوضح استشاري الثغرة الأولى أن استغلالها لا يكون ممكنًا عبر نواة Drupal وحدها، لكن الوحدات المساهمة قد توفّر مسارات للاستغلال، من بينها مسار واحد على الأقل لا يتطلب مصادقة. ويشترط استغلال الثغرة الثانية تفاعلًا مشابهًا مع وحدات مساهمة أو تعليمات برمجية مخصّصة، ويتضمّن مسارًا معروفًا واحدًا على الأقل لا يتطلب مصادقة أيضًا.

ودعت الجهة المسؤولة المديرين إلى تحديث نواة Drupal إلى الإصدار 10.6.19 أو 11.3.19 أو 11.4.10 بحسب الفرع المستخدم، وتحديث وحدة Entity List إلى الإصدار 3.0.10. كما تتأثر الإصدارات التمهيدية من Drupal 12 السابقة لـ beta2، على أن يتضمّن الإصدار المستقر 12.0 إصلاحات للثغرتين.

إجراءات بديلة لمن لا يستطيع التحديث

نصحت الجهة المديرين غير القادرين على الترقية بإلغاء تثبيت وحدة Field UI في النواة (field_ui) كإجراء تخفيفي. وأشارت إلى أن خدمة Drupal Steward تحمي من بعض مسارات الهجوم المعروفة، لكنها لا تغطي كل احتمالات الاستغلال الممكنة.

وكانت Drupal قد حذّرت في بداية الأسبوع من ضرورة تطبيق التحديثات بسرعة لأن الاستغلالات قد تُطوَّر في غضون ساعات أو أيام، ونصحت بالتحديث إلى أحدث إصدار مدعوم من إصلاحات الأخطاء لمعالجة مشكلات الترقية قبل نافذة الأمان. وأعلنت في وقت سابق من الأسبوع أن جميع إصدارات نواة Drupal المدعومة حاليًا متأثرة. ووفق موقع المشروع، يعمل أكثر من مليون موقع على Drupal. وتعدّ كل إصدارات Drupal السابقة لـ 10.6.x وجميع إصدارات Drupal 11 السابقة لـ 11.3.x منتهية الصلاحية ولم تعد مدعومة.