Drupal menutup dua RCE: core dan Entity List perlu diperbarui

Pada 14 Oktober 2026, tim keamanan Drupal menerbitkan advisori Field UI pada Drupal core untuk CVE-2026-108097, celah eksekusi kode jarak jauh (RCE) dengan risiko kritis 19/25. Rilis perbaikannya adalah Drupal 11.4.10, 11.3.19, atau 10.6.19, bergantung pada cabang yang digunakan.

Pada tanggal yang sama, Drupal menerbitkan advisori Entity List untuk CVE-2026-108099, RCE kritis dengan risiko 19/25 pada modul kontribusi sebelum versi 3.0.10. Situs yang memasang Entity List harus memperbarui modul tersebut secara terpisah. Pembaruan core tidak mengubah versi paket Entity List yang terpasang.

Versi terdampak dan paket perbaikannya

Field UI berada di dalam Drupal core, sedangkan Entity List dipasang sebagai modul kontribusi untuk membuat daftar entitas tanpa Views. Karena keduanya berasal dari paket berbeda, pemeriksaan versi core saja belum menjawab apakah seluruh perbaikan telah terpasang. Matriks berikut memisahkan komponen yang perlu diperiksa dari rilis yang menutup celahnya:

Field UI, Drupal 11.4.x: versi sebelum 11.4.10 terdampak; perbarui core ke 11.4.10.
Field UI, Drupal 11.3.x: versi sebelum 11.3.19 terdampak; perbarui core ke 11.3.19.
Field UI, Drupal 10.6.x: versi sebelum 10.6.19 terdampak; perbarui core ke 10.6.19.
Entity List: versi sebelum 3.0.10 terdampak bila modul terpasang; perbarui paket modul ke 3.0.10.

Cakupan advisori core lebih luas daripada tiga cabang yang menerima rilis perbaikan. Rentang terdampaknya dimulai dari Drupal 8.9.0 pada seri lama dan juga mencakup prarilis Drupal 12 sebelum beta2. Drupal 11.2.x dan yang lebih lama dalam seri 11, Drupal 10.5.x dan yang lebih lama dalam seri 10, serta Drupal 8 dan 9 telah berakhir masa dukungannya. Pengelola situs pada cabang tersebut perlu berpindah ke cabang yang didukung untuk memperoleh perbaikan core.

Baris Entity List hanya berlaku bagi situs yang memasang modul itu. Namun, tidak adanya Entity List tidak menghapus kebutuhan untuk memperbaiki Field UI pada core yang terdampak. Sebaliknya, memasang rilis core yang telah diperbaiki tidak menyelesaikan CVE pada Entity List apabila versi modulnya masih lama. Inventaris paket dan status modul membantu membedakan dua kondisi tersebut.

Jalur tanpa login dan status eksploitasi

Untuk Field UI, Drupal menyatakan kerentanan tidak dapat dieksploitasi secara langsung hanya dengan core. Beberapa modul kontribusi dapat membuka jalur serangan yang serius, dan kode khusus situs juga dapat mengekspos fungsi yang rentan. Setidaknya satu jalur yang diketahui tidak memerlukan autentikasi. Karena itu, syarat adanya komponen lain tidak berarti situs yang membuka jalur tersebut mensyaratkan penyerang untuk masuk terlebih dahulu.

Entity List memiliki batas yang serupa, tetapi melibatkan modul kontribusi yang berbeda. Modul Entity List saja tidak langsung membuka eksploitasi; jalur yang diketahui melibatkan modul kontribusi lain, sementara kode khusus situs juga dapat mengekspos fungsi yang rentan. Setidaknya satu jalur yang diketahui untuk celah ini tidak memerlukan autentikasi. Penilaian paparan sebuah situs bergantung pada susunan modul dan kode yang benar-benar digunakan, selain pada nomor versi paketnya.

Peringatan tim keamanan Drupal yang dikutip BleepingComputer pada 17 Oktober menyebut eksploit “might be developed within hours or days”. Peringatan itu membahas kemungkinan pengembangan eksploit, bukan temuan serangan aktif. Kedua advisori memberi label “Theoretical” pada kematangan eksploitasi; jalur yang mungkin dipakai tanpa login tetap perlu dibedakan dari bukti bahwa jalur tersebut sudah disalahgunakan.

Memeriksa versi dan status modul di situs

Pada instalasi yang dikelola dengan Composer, jalankan composer show drupal/core untuk melihat versi core yang terpasang. Jalankan composer show drupal/entity_list untuk memeriksa apakah paket Entity List ada dan versi mana yang digunakan. Bila perintah kedua menyatakan paket tidak ditemukan, jalur pembaruan Entity List tidak berlaku untuk instalasi itu; pemeriksaan Field UI pada core tetap diperlukan.

Nomor versi paket tidak selalu menjelaskan modul mana yang sedang aktif. Pada situs yang memakai Drush, drush pm:list --status=enabled --type=module menampilkan modul yang diaktifkan; cari field_ui dan entity_list pada hasilnya. Periksa pula modul kontribusi lain dan kode khusus situs saat menilai kemungkinan jalur eksploitasi, karena kedua advisori menyebut komponen tersebut sebagai cara fungsi yang rentan dapat terjangkau.

Setelah paket diperbarui, cocokkan lagi versi terpasang dengan matriks perbaikan. Untuk situs yang tidak dikelola lewat Composer, versi core dapat dicocokkan melalui laporan status Drupal, sedangkan versi dan status Entity List perlu diperiksa dalam pengelolaan modul situs. Pemeriksaan setelah pemasangan penting ketika pembaruan core dan modul kontribusi dijalankan melalui proses pemeliharaan yang berbeda.

Mitigasi ketika pembaruan core tertunda

Untuk Field UI, Drupal memberikan mitigasi sementara berupa penghapusan instalasi modul core field_ui sampai core dapat diperbarui. Jika memakai Drush, administrator dapat meninjau modul yang ikut terdampak dengan drush pm:uninstall --simulate field_ui sebelum menjalankan drush pm:uninstall field_ui. Penghapusan instalasi ini berarti pengelolaan field melalui antarmuka Field UI tidak tersedia selama modul belum dipasang kembali.

Mitigasi tersebut hanya ditujukan pada celah Field UI. Situs yang memasang Entity List versi terdampak tetap membutuhkan rilis perbaikan modulnya sendiri. Bagi administrator yang menunda pembaruan core, perbedaan ini menentukan pekerjaan yang masih terbuka: menghapus instalasi field_ui memberi perlindungan sementara untuk jalur core, sementara versi Entity List harus ditangani sebagai paket terpisah.