Drupal发布补丁修复两个严重远程代码执行漏洞
漏洞分别影响Drupal核心Field UI模块与Entity List贡献模块，管理员被建议升级至10.6.19、11.3.19或11.4.10。
据 bleepingcomputer.com 报道，Drupal 已为两个严重漏洞发布补丁，这些漏洞可导致运行受支持版本CMS的站点遭到远程代码执行攻击。两个漏洞分别影响 Drupal 核心的 Field UI 模块和贡献模块 Entity List。
CVE-2026-108097 是 Drupal 核心 Field UI 模块中的远程代码执行漏洞；CVE-2026-108099 则是贡献模块 Entity List 中的远程代码执行漏洞。CVE-2026-108097 的公告指出，该漏洞无法仅凭 Drupal 核心被利用，但贡献模块可提供利用路径，其中至少有一条无需身份验证。利用 CVE-2026-108099 同样需要与贡献模块或自定义代码配合，并且已知存在至少一条无需身份验证的路径。
升级与缓解措施
管理员被敦促根据所用分支将 Drupal 核心升级至 10.6.19、11.3.19 或 11.4.10，并将 Entity List 升级至 3.0.10。beta2 之前的 Drupal 12 预发布版本同样受影响，稳定版 12.0 将包含针对这两个漏洞的修复。无法升级的管理员被建议卸载核心 Field UI 模块（field_ui）作为缓解措施。Drupal Steward 可防御部分已知攻击途径，但无法覆盖所有可能的利用方式。
本周早些时候，Drupal 曾发布预警，要求管理员尽快应用更新，因为漏洞利用工具可能在数小时或数天内出现。项目方还建议在 10 月 14 日前升级到最新的受支持缺陷修复版本，以便在安全窗口开启前解决升级问题，并说明当前所有受支持的 Drupal 核心版本均受影响。据该项目网站统计，超过 100 万个网站运行在 Drupal 上。10.6.x 之前的全部版本以及 11.3.x 之前的全部 Drupal 11 版本均已停止支持。
快速问答
哪些Drupal版本需要升级？
根据分支升级至 Drupal 核心 10.6.19、11.3.19 或 11.4.10，并将 Entity List 升级至 3.0.10。
无法立即升级该怎么办？
管理员可卸载核心 Field UI 模块（field_ui）作为缓解措施。
Drupal 12 是否受影响？
beta2 之前的 Drupal 12 预发布版本受影响，稳定版 12.0 将包含修复。