Drupal’da kritik RCE: Field UI kapalı değilse çekirdek güncellenmeli

Drupal Güvenlik Ekibi’nin 14 Ekim 2026 tarihli duyurusu, çekirdekteki Field UI modülünde CVE-2026-108097 kodlu kritik bir uzaktan kod çalıştırma açığı bulunduğunu bildiriyor. Ekip riski kendi ölçeğinde 19/25 olarak değerlendiriyor. Field UI kurulu bir sitede geçici önlem modülü kaldırmak; kalıcı çözüm ise kullanılan çekirdek dalını yamalı sürüme yükseltmek.

Pantheon’un 14 Ekim güncelleme notu, yamalı sürümleri Drupal 11.4.10, 11.3.19 ve 10.6.19 olarak sıralıyor. Aynı not, daha eski destek dışı dallara bu açık için yama verilmediğini belirtiyor; Pantheon’daki Drupal 7 siteleri içinse sağlayıcının uzun süreli desteği kapsamında 7.107 sürümüne özel bir düzeltme aktarıyor. Dolayısıyla önce çalışan çekirdeğin dalı ve Field UI modülünün kurulum durumu belirlenmeli.

Risk hangi kurulumda somutlaşıyor?

Açık Field UI içinde olsa da yalın Drupal çekirdeğiyle doğrudan sömürülemiyor. Katkı modülleri savunmasız işlevselliğe birden fazla saldırı yolu açabiliyor; bilinen yollardan en az biri oturum açmayı gerektirmiyor. Özel kod da aynı işlevi erişilebilir hâle getirebilir. Bu nedenle yönetim sayfalarının yalnızca yetkili kullanıcılara açık olması, ilgili saldırı yolunun bulunmadığını göstermiyor.

The Hacker News’in teknik çözümlemesine göre Field UI, alan ve görüntüleme yönetimi tablolarını oluştururken satırdaki #region_callback değerini yama öncesinde PHP çağrısı olarak çalıştırıyordu; yeni kod bu çağrıyı kaldırıp satırın bölge değerini kullanıyor. İnceleme ayrıca Drupal’ın Standard kurulum profilinin Field UI modülünü kurduğunu belirtiyor. Bu profille kurulmuş bir sitede modülün sonradan kaldırılıp kaldırılmadığı envanterden görülmeli.

Her katkı modülünün aynı açığı tetiklediği sonucu çıkarılamaz. İncelenmesi gereken bağlantı, modülün veya özel kodun Field UI tablolarına savunmasız geri çağırma değerini taşıyıp taşımadığıdır. Çekirdek yaması bu çağrıyı kaldırdığı için #region_callback davranışına dayanan özel bir genişletme güncellemeden sonra farklı çalışabilir. Güvenlik düzeltmesiyle birlikte alan yönetimi işlevlerinin sınanmasının nedeni de budur.

Hangi sürüm hangi yamayı alıyor?

Etkilenen bir kurulumda hedef, mevcut desteklenen dalın yamalı sürümüdür. Sürüm numaraları birbirinin yerine geçmez: aynı sitenin hangi dalda çalıştığı, uygulanacak güncelleme yolunu belirler.

• Drupal 11.4.x: 11.4.10 öncesi sürümler etkilenir; 11.4.10 yamalıdır.
• Drupal 11.3.x: 11.3.19 öncesi sürümler etkilenir; 11.3.19 yamalıdır.
• Drupal 10.6.x: 10.6.19 öncesi sürümler etkilenir; 10.6.19 yamalıdır.
• Drupal 11.2.x ve daha eski dallar ile 10.5.x ve daha eski dallar: Güvenlik desteği dışındadır; desteklenen bir dala geçiş gerekir.
• Drupal 8 ve 9: Kullanım ömürleri sona ermiştir; bu duyuru kapsamında kendi dallarına güvenlik yaması verilmez.

Drupal 12’nin 12.0.0-alpha1 ile 12.0.0-beta1 arasındaki ön sürümleri de etkilenen aralıkta. Bu kurulumlar için kararlı üretim dallarının yama numaralarını doğrudan uygulama hedefi saymak doğru olmaz. Ön sürüm kullanan ekip, kendi sürüm hattındaki düzeltmeyi ayrıca değerlendirmeli.

Çekirdek sürümünün etkilenen aralıkta olmasıyla sitenin açık üzerinden doğrudan ele geçirilebilir olması aynı şey değildir: saldırı yolu, kurulu katkı modüllerine veya özel koda bağlıdır. Yine de yolun bulunmadığını yalnızca görünen sayfalara bakarak belirlemek mümkün değildir. Field UI kurulum durumu, katkı modülleri ve ilgili özel kod birlikte incelenirken desteklenen dalın yaması bekletilmemelidir.

Güncellemeye kadar Field UI nasıl kaldırılır?

Çekirdek hemen yükseltilemiyorsa geçici önlem, makine adı field_ui olan modülü kaldırmaktır. Drupal yönetiminde Genişlet > Kaldır bölümünden modülün kurulum kaydı kaldırılabilir; yönetim sayfasına erişimi sınırlamak veya modül dosyalarını silmek aynı işlem değildir. Başka bir modül Field UI’ye bağımlıysa kaldırma işlemi engellenebilir. Böyle bir durumda bağımlılığı ve değişikliğin site yapılandırmasına etkisini değerlendirmek gerekir.

Field UI kaldırıldığında alanları ve görüntülenme biçimlerini yöneten sayfalar kullanılamaz. Bu, mevcut içeriğin tamamının silindiği anlamına gelmez; ancak bakım ve içerik modelleme işlerini etkileyebilir. Değişiklikten önce yapılandırmanın yedeğini almak, ardından modülün kurulu olmadığını ve sitenin beklenen sayfaları sunduğunu doğrulamak uygun bir geçiş kontrolüdür. Kaldırma işlemi kalıcı çözüm yerine geçirilmemeli; desteklenen dala yükseltme planı sürdürülmelidir.

Drupal Steward kullanan sitelerde bazı bilinen saldırı yollarına karşı koruma bulunuyor, fakat bu koruma olası yolların tamamını kapsamıyor. Barındırma sağlayıcısının koruması veya Field UI’nin geçici kaldırılması, yamalı çekirdeğe geçiş ihtiyacını ortadan kaldırmıyor. Özellikle katkı modülleri ve özel kodla genişletilmiş sitelerde güvenlik kararı yalnızca çevre korumasına dayandırılmamalıdır.

Yamadan sonra ne doğrulanmalı?

Dağıtım tamamlandığında canlı sitenin çalıştırdığı çekirdek sürümü kontrol edilmeli. Güncelleme paketinin indirilmiş olması, yeni kodun üretim ortamına geçtiğini tek başına göstermez. Gerekli veritabanı güncellemeleri uygulanıp önbellek yeniden oluşturulduktan sonra alan ve görüntüleme yönetimi sayfaları açılmalı; bu sayfaları genişleten katkı modülleri ile özel kodun davranışı sınanmalıdır.

Uygulama ve web sunucusu günlükleri, dağıtım sırasında veya sonrasında oluşan hataları gösterebilir. Günlüklerin temiz görünmesi sürüm doğrulamasının yerini tutmaz; iki kontrol farklı soruları yanıtlar. Field UI geçici olarak kaldırılmışsa modülü yeniden kurma kararı, sitenin yamalı çekirdekte çalıştığı ve alan yönetimi işlevlerinin beklendiği gibi davrandığı görüldükten sonra verilmelidir.

Ayrıca okuyun:

• GitHub CLI anahtarı değişti; eski Linux kurulumlarında güncelleme kesilebilir
• Windows 11 güncellemesi sorun çıkardıysa üç geri dönüş yolunu karıştırmayın
• Canva API artık mevcut tasarımı veriyle yerinde güncelleyebiliyor