In sintesi
Ogni sito Drupal 10 e 11 supportato dovrebbe passare subito a 10.6.19, 11.3.19 o 11.4.10. La CVE-2026-108097, pubblicata il 14 ottobre 2026, è una vulnerabilità critica di esecuzione di codice da remoto (RCE) nel modulo Field UI del core. Il solo core non è sfruttabile, ma moduli contrib molto diffusi aprono diversi percorsi, almeno uno senza login. Se la vostra applicazione web gira su Drupal, applicate la patch questa settimana.
Cosa ha pubblicato Drupal?
Il 14 ottobre 2026 il Drupal Security Team ha pubblicato l’advisory SA-CORE-2026-014 relativo alla CVE-2026-108097, una vulnerabilità di esecuzione di codice da remoto in Field UI, il modulo core alla base delle schermate di amministrazione in cui i site builder aggiungono campi e configurano la visualizzazione dei contenuti. Sulla propria scala di rischio il team le ha assegnato 19 punti su 25: complessità di attacco bassa, nessuna autenticazione richiesta, impatto completo in lettura e scrittura sui dati del sito. Al momento della pubblicazione lo sfruttamento era considerato teorico.
Nello stesso ciclo di rilascio è uscito SA-CONTRIB-2026-218 per Entity List, un modulo contrib che genera elenchi di entità senza Views. La sua falla, CVE-2026-108099, ha la stessa valutazione critica 19/25 e lo stesso schema: non sfruttabile dal solo modulo, ma raggiungibile tramite altri moduli, incluso almeno un percorso senza login. Come riportato da BleepingComputer il 17 ottobre, il team di sicurezza ha avvertito gli amministratori che exploit funzionanti «potrebbero essere sviluppati nel giro di ore o giorni» dal rilascio.
Come funziona la falla di Field UI?
Drupal costruisce le pagine a partire dai render array, strutture PHP che il core trasforma poi in HTML. Le analisi tecniche della patch pubblicate finora collocano la causa nel rendering delle tabelle di Field UI: nella fase di pre-render veniva eseguito un callable PHP contenuto nella proprietà #region_callback di ogni riga, senza verificare di quale callable si trattasse. Se un attaccante riesce a influenzare quella proprietà, può far eseguire al server una funzione a sua scelta.
Il core non passa mai di per sé quella proprietà a un visitatore anonimo: per questo l’advisory precisa che il solo core non è sfruttabile. Il rischio nasce dai moduli contrib e dal codice personalizzato che inseriscono dati controllati dall’utente nei render array. Drupal parla di «molteplici percorsi di exploit gravi» di questo tipo, quindi l’esposizione reale di un sito dipende dall’elenco dei moduli, non dalla versione del core.
Quali siti sono esposti?
Erano coinvolti tutti i rami supportati: Drupal 10 da 8.9.0 fino a 10.6.18 e Drupal 11 fino a 11.3.18 e 11.4.9. Drupal alimenta oltre un milione di siti nel mondo ed è molto usato da pubbliche amministrazioni, università, enti non profit e team marketing di grandi aziende. Anche con un hosting gestito, l’aggiornamento del core va integrato nel proprio codice e rilasciato.
Il caso più delicato riguarda i siti ancora su Drupal 8 o 9. L’intervallo vulnerabile parte da 8.9.0, ma entrambe le versioni sono a fine vita e non riceveranno patch. Le opzioni realistiche sono disinstallare subito Field UI e pianificare l’aggiornamento probabilmente rimandato troppo a lungo: un vero progetto di modernizzazione applicativa, non una correzione di una riga.
Cosa significa per le organizzazioni italiane?
La lezione va oltre Drupal: le falle critiche di CMS e framework si collocano sempre più spesso tra un core apparentemente sicuro e le estensioni che vi si innestano. La vostra superficie di attacco è definita dall’albero delle dipendenze. Un inventario aggiornato di moduli contrib, codice personalizzato e relative versioni è la prima cosa che serve quando esce un advisory del genere; senza, il primo giorno di una patch critica se ne va per capire che cosa gira in produzione.
Cosa fare questa settimana
- Aggiornare il core. Passate a 10.6.19, 11.3.19 o 11.4.10 con
composer update drupal/core-recommended --with-dependencies, poi eseguite gli aggiornamenti del database e svuotate le cache. - Aggiornare Entity List. Se il modulo è installato, portatelo alla 3.0.10.
- Mitigare dove non si può aggiornare. Disinstallate Field UI (
drush pm:uninstall field_ui); la configurazione dei campi resta e il modulo può essere riattivato dopo l’aggiornamento. - Fare l’inventario dei moduli. Elencate ogni modulo contrib e personalizzato che costruisce render array a partire dai dati della richiesta e date priorità ai siti con form pubblici o endpoint anonimi.
- Verificare i siti a fine vita. Individuate le installazioni Drupal 8 o 9, rimuovete Field UI e definite un piano di aggiornamento con date precise.
- Monitorare i log. Cercate richieste anomale verso form ed endpoint AJAX e nuovi file PHP o voci cron comparsi dopo il 14 ottobre, documentando ogni evidenza utile a un’eventuale notifica al Garante.
Domande frequenti
Che cos’è la CVE-2026-108097?
La CVE-2026-108097 è una vulnerabilità di esecuzione di codice da remoto nel modulo Field UI del core Drupal, pubblicata il 14 ottobre 2026 nell’advisory SA-CORE-2026-014. Il Drupal Security Team la classifica come critica, 19 su 25. Il solo core non è sfruttabile, ma moduli contrib o codice personalizzato possono esporla, e almeno un percorso di attacco noto non richiede autenticazione.
Quali versioni di Drupal sono vulnerabili e quali corrette?
Sono vulnerabili Drupal da 8.9.0 a 10.6.18, da 11.0.0 a 11.3.18 e da 11.4.0 a 11.4.9. Le versioni corrette sono 10.6.19, 11.3.19 e 11.4.10. Drupal 8 e 9 sono a fine vita e non ricevono alcuna correzione di sicurezza.
La CVE-2026-108097 è già sfruttata?
Al momento della pubblicazione il Drupal Security Team considerava lo sfruttamento teorico, e la copertura che abbiamo esaminato fino al 17 ottobre 2026 non riportava attacchi in corso. Il team ha però avvertito che gli exploit potrebbero arrivare nel giro di ore o giorni, quindi conviene aggiornare senza attendere attacchi confermati.
Cosa fare se non possiamo aggiornare Drupal subito?
Disinstallare il modulo core Field UI (field_ui) protegge il sito in attesa dell’aggiornamento. La configurazione dei campi resta invariata e il modulo può essere riattivato dopo la patch. Drupal Steward offre solo una protezione parziale e non sostituisce l’aggiornamento.
Qual è la falla di Entity List pubblicata in parallelo?
Lo stesso giorno Drupal ha pubblicato SA-CONTRIB-2026-218 per il modulo contrib Entity List. La sua falla, CVE-2026-108099, è anch’essa una RCE critica (19/25) raggiungibile tramite altri moduli, incluso almeno un percorso senza autenticazione. È corretta in Entity List 3.0.10.
Fonti
Drupal Security Team — SA-CORE-2026-014: Drupal core, Critical, Remote code execution (14 ottobre 2026)
Drupal Security Team — SA-CONTRIB-2026-218: Entity List, Critical, Remote code execution (14 ottobre 2026)
BleepingComputer — Drupal patches critical RCE flaws, warns exploits may emerge soon (17 ottobre 2026)
The Hacker News — Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules (ottobre 2026)