Drupal, 핵심 모듈 원격 코드 실행 취약점 2건 패치

Drupal이 자사 CMS의 지원 버전을 운영하는 사이트에서 원격 코드 실행이 가능한 치명적 취약점 2건을 패치했다고 보안 매체 BleepingComputer가 보도했다. 취약점은 Drupal 코어의 Field UI 모듈과 기여 모듈인 Entity List에 각각 존재한다.

CVE-2026-108097은 Drupal 코어 Field UI 모듈의 원격 코드 실행 결함이다. 권고문에 따르면 이 결함은 Drupal 코어만으로는 악용할 수 없지만, 기여 모듈이 공격 경로를 제공할 수 있으며 인증이 필요 없는 경로도 최소 1건 확인됐다.

CVE-2026-108099는 Entity List 기여 모듈의 원격 코드 실행 결함이다. 이 역시 기여 모듈이나 사용자 정의 코드와의 상호작용이 필요하며, 알려진 비인증 공격 경로가 최소 1건 포함돼 있다.

관리자는 사용 중인 브랜치에 따라 Drupal 코어를 10.6.19, 11.3.19, 11.4.10으로, Entity List를 3.0.10으로 업데이트해야 한다. Drupal 12 사전 릴리스 가운데 베타2 이전 버전도 영향을 받으며, 정식 12.0 릴리스에 두 결함의 수정 사항이 포함될 예정이다.

업그레이드가 어려운 경우 코어 Field UI 모듈(field_ui)을 제거하는 것이 완화책으로 권고된다. Drupal Steward는 일부 알려진 공격 경로는 막지만 모든 가능한 익스플로잇을 차단하지는 못한다.

사전 경고와 지원 범위

이번 주 초 Drupal은 익스플로잇이 수 시간 또는 수일 내에 개발될 수 있다며 신속한 업데이트를 촉구하는 사전 경고를 냈고, 현재 지원되는 모든 Drupal 코어 버전이 영향을 받는다고 밝혔다. 프로젝트 웹사이트에 따르면 100만 개 이상의 웹사이트가 Drupal을 사용한다. 10.6.x 이전 버전과 11.3.x 이전의 모든 Drupal 11 버전은 지원이 종료된 상태다.