Das Wichtigste in Kürze
Jede unterstützte Drupal-10- und -11-Installation sollte jetzt auf 10.6.19, 11.3.19 oder 11.4.10 gehen. CVE-2026-108097, veröffentlicht am 14. Oktober 2026, ist eine kritische Lücke zur Remote-Codeausführung (RCE) im Core-Modul Field UI. Der Core allein ist nicht ausnutzbar, verbreitete Contrib-Module öffnen jedoch mehrere Pfade, mindestens einen ohne Login. Läuft Ihre Webanwendung auf Drupal, patchen Sie noch diese Woche.
Was hat Drupal veröffentlicht?
Am 14. Oktober 2026 veröffentlichte das Drupal Security Team das Advisory SA-CORE-2026-014 zu CVE-2026-108097, einer Schwachstelle zur Remote-Codeausführung in Field UI – dem Core-Modul hinter den Admin-Masken, in denen Site-Builder Felder anlegen und die Darstellung von Inhalten konfigurieren. Auf der eigenen Risikoskala vergab das Team 19 von 25 Punkten: geringe Angriffskomplexität, keine Authentifizierung nötig, voller Lese- und Schreibzugriff auf Website-Daten. Zum Zeitpunkt der Veröffentlichung galt die Ausnutzung als theoretisch.
Im selben Release-Zyklus erschien SA-CONTRIB-2026-218 für Entity List, ein Contrib-Modul, das Entitätslisten ohne Views erzeugt. Dessen Lücke CVE-2026-108099 trägt dieselbe kritische Einstufung 19/25 und folgt demselben Muster: allein nicht ausnutzbar, aber über andere Module erreichbar, darunter mindestens ein Pfad ohne Login. Wie BleepingComputer am 17. Oktober berichtete, warnte das Security Team Administratoren, funktionierende Exploits könnten „innerhalb von Stunden oder Tagen“ nach der Veröffentlichung entstehen.
Wie funktioniert die Field-UI-Lücke?
Drupal baut seine Seiten aus Render-Arrays auf – PHP-Strukturen, die der Core später in HTML umwandelt. Veröffentlichte technische Analysen des Patches verorten die Ursache im Tabellen-Rendering von Field UI: Im Pre-Render-Schritt wurde ein PHP-Callable aus der Eigenschaft #region_callback jeder Tabellenzeile ausgeführt, ohne zu prüfen, um welches Callable es sich handelt. Kann ein Angreifer diese Eigenschaft beeinflussen, bringt er den Server dazu, eine Funktion seiner Wahl auszuführen.
Von sich aus reicht der Core diese Eigenschaft nie an anonyme Besucher weiter – deshalb heißt es im Advisory, der Core allein sei nicht ausnutzbar. Das Risiko entsteht durch Contrib-Module und Eigenentwicklungen, die nutzergesteuerte Daten in Render-Arrays übernehmen. Laut Drupal gibt es auf diesem Weg „mehrere schwerwiegende Exploit-Pfade“; die tatsächliche Gefährdung einer Website hängt also von ihrer Modulliste ab, nicht von der Core-Version.
Welche Websites sind betroffen?
Betroffen waren alle unterstützten Zweige: Drupal 10 ab 8.9.0 bis 10.6.18 sowie Drupal 11 bis 11.3.18 bzw. 11.4.9. Drupal betreibt weltweit mehr als eine Million Websites und ist besonders bei Behörden, Hochschulen, Verbänden und im Enterprise-Marketing verbreitet. Auch bei Managed Hosting muss das Core-Update in die eigene Codebasis übernommen und ausgerollt werden.
Heikel ist alles, was noch auf Drupal 8 oder 9 läuft. Der betroffene Bereich beginnt bei 8.9.0, beide Versionen sind jedoch End-of-Life und bekommen keinen Patch. Realistisch bleibt dort nur, Field UI sofort zu deinstallieren und das vermutlich lange aufgeschobene Upgrade einzuplanen – ein klassisches Modernisierungsprojekt statt eines Einzeilers.
Was bedeutet das für den DACH-Raum?
Die Lehre reicht über Drupal hinaus: Kritische Lücken in CMS und Frameworks liegen immer häufiger zwischen einem harmlos wirkenden Core und den angebauten Erweiterungen. Ihre Angriffsfläche bestimmt der Abhängigkeitsbaum. Eine aktuelle Übersicht über Contrib-Module, Eigencode und deren Versionen – im DACH-Raum oft als Teil eines ISMS nach ISO 27001 oder BSI IT-Grundschutz gepflegt – ist das Erste, was Sie brauchen, wenn ein solches Advisory erscheint.
Was diese Woche zu tun ist
- Core aktualisieren. Wechseln Sie mit
composer update drupal/core-recommended --with-dependenciesauf 10.6.19, 11.3.19 oder 11.4.10, führen Sie anschließend die Datenbank-Updates aus und leeren Sie die Caches. - Entity List aktualisieren. Ist das Modul installiert, auf 3.0.10 anheben.
- Absichern, wo nicht gepatcht werden kann. Field UI deinstallieren (
drush pm:uninstall field_ui); die Feldkonfiguration bleibt erhalten, das Modul lässt sich nach dem Update wieder aktivieren. - Module inventarisieren. Erfassen Sie alle Contrib- und Custom-Module, die Render-Arrays aus Request-Daten aufbauen, und priorisieren Sie Websites mit öffentlichen Formularen oder anonymen Endpunkten.
- End-of-Life-Websites prüfen. Drupal-8- oder -9-Installationen aufspüren, Field UI entfernen und einen datierten Upgrade-Plan aufsetzen.
- Logs beobachten. Achten Sie auf auffällige Anfragen an Formular- und AJAX-Endpunkte sowie auf neue PHP-Dateien oder Cron-Einträge nach dem 14. Oktober – und halten Sie Funde für eine mögliche DSGVO-Meldung fest.
Häufige Fragen
Was ist CVE-2026-108097?
CVE-2026-108097 ist eine Schwachstelle zur Remote-Codeausführung im Field-UI-Modul des Drupal-Core, veröffentlicht am 14. Oktober 2026 im Advisory SA-CORE-2026-014. Das Drupal Security Team stuft sie als kritisch ein (19 von 25). Mit dem Core allein ist sie nicht ausnutzbar, aber Contrib-Module oder eigener Code können sie freilegen; mindestens ein bekannter Angriffspfad kommt ohne Anmeldung aus.
Welche Drupal-Versionen sind betroffen und welche behoben?
Betroffen sind Drupal 8.9.0 bis 10.6.18, Drupal 11.0.0 bis 11.3.18 und Drupal 11.4.0 bis 11.4.9. Behoben ist die Lücke in 10.6.19, 11.3.19 und 11.4.10. Drupal 8 und 9 sind End-of-Life und erhalten keinen Sicherheitsfix.
Wird CVE-2026-108097 bereits ausgenutzt?
Zum Zeitpunkt der Veröffentlichung stufte das Drupal Security Team die Ausnutzung als theoretisch ein, und die bis zum 17. Oktober 2026 ausgewertete Berichterstattung meldete keine Angriffe in freier Wildbahn. Das Team warnte jedoch, dass Exploits innerhalb von Stunden oder Tagen entstehen könnten – patchen Sie also, ohne auf bestätigte Angriffe zu warten.
Was tun, wenn wir Drupal nicht sofort aktualisieren können?
Das Deinstallieren des Core-Moduls Field UI (field_ui) schützt die Website bis zum Update. Die Feldkonfiguration bleibt erhalten, und das Modul lässt sich nach dem Patch wieder aktivieren. Drupal Steward bietet nur teilweisen Schutz und ersetzt das Update nicht.
Was ist die parallel veröffentlichte Entity-List-Lücke?
Am selben Tag veröffentlichte Drupal SA-CONTRIB-2026-218 für das Contrib-Modul Entity List. Dessen Lücke CVE-2026-108099 ist ebenfalls eine kritische RCE (19/25), die über andere Module erreichbar ist, darunter mindestens ein Pfad ohne Authentifizierung. Behoben in Entity List 3.0.10.
Quellen
Drupal Security Team — SA-CORE-2026-014: Drupal core, Critical, Remote code execution (14. Oktober 2026)
Drupal Security Team — SA-CONTRIB-2026-218: Entity List, Critical, Remote code execution (14. Oktober 2026)
BleepingComputer — Drupal patches critical RCE flaws, warns exploits may emerge soon (17. Oktober 2026)
The Hacker News — Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules (Oktober 2026)