Drupal güvenlik ekibi, çekirdekteki Field UI modülünde uzaktan kod çalıştırma açığı için SA-CORE-2026-014 kodlu danışmayı yayımladı. CVE-2026-108097 tanımlayıcılı zafiyetin düzeltmeleri 14 Ekim 2026'da Drupal 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle kullanıma sunuldu. Zafiyet, Drupal'ın kendi risk ölçeğinde 19/25 puanla kritik düzeyinde sınıflandırıldı.
Güvenlik ekibine göre çekirdek tek başına doğrudan sömürülebilir değil. Ancak katkı modülleri veya özel kod üzerinden kod çalıştırmaya olanak tanıyan birden fazla yol var; bilinen yollardan en az biri kimlik doğrulama gerektirmiyor. 15 Ekim 2026 itibarıyla kamuya açık exploit veya bildirilmiş saldırı yok; danışmadaki istismar düzeyi teorik (E:Theoretical).
Destek almayan eski sürümlere yama yok
Düzeltmeler Drupal 11.4.x, 11.3.x ve 10.6.x dallarını kapsıyor. Geliştirme hattındaki 12.x için düzeltme 12.0.0-beta2 sürümüne alındı. Kullanım ömrü biten Drupal 8 ve 9 ile güvenlik kapsamı dışında kalan Drupal 11.2.x, 10.5.x ve altı için yama yayımlanmadı.
The Hacker News'in drupal.org sürüm bildirimlerine dayandırdığı verilere göre, 4 Ekim 2026 haftasında çekirdek sürümünü bildiren 531.499 siteden 151.442'si (%28,5) artık güvenlik güncellemesi almayan bu eski dallardaydı.
Geçici önlem: Field UI modülünü kaldırmak
Birincil çözüm güncel sürüme yükseltmek. Güncellemeyi hemen uygulayamayan yöneticiler için geçici önlem olarak çekirdek Field UI (field_ui) modülünü kaldırmak (uninstall) öneriliyor; bu süre alan yönetimi arayüzleri kullanılamaz, ancak güncelleme yapılana kadar koruma sağlar.
Drupal Steward bazı bilinen saldırı vektörlerini engelliyor; tüm olası yolları kapsamıyor. Danışma yine de yazılım güncellemesini istiyor.
Kaynaklar
- Drupal Security Advisory: SA-CORE-2026-014 (CVE-2026-108097)
- The Hacker News: Drupal Patches Critical Core RCE Flaw
Kapak görseli (arşiv): DrupalCon San Francisco giriş tabelası — Koffermejia / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
