新聞

10月14日內容管理系統Drupal開發團隊發布資安公告，修補兩個重大等級的資安漏洞CVE-2026-108097、CVE-2026-108099，攻擊者都有機會將其用於遠端執行任意程式碼（RCE），在Drupal的嚴重程度評分裡，皆被評為19分（滿分25分），呼籲用戶應儘速套用新版程式修補。

其中CVE-2026-108097存在於Drupal Core，影響Field UI模組，開發團隊強調，雖然該弱點無法直接被利用，但是攻擊者可搭配其他貢獻模組產生多種漏洞利用路徑，其中一種該團隊知道的路徑，無須通過身分驗證就能利用，此外，使用者若是加入自訂的程式碼，也有可能受到存在弱點的功能影響。開發團隊發布Drupal 11.4.10、11.3.19、10.6.19予以修補，若是用戶無法及時套用更新，也能移除Field UI緩解相關風險。

另一個重大漏洞CVE-2026-108099則與名為Entity List的模組有關，開發團隊對於該弱點造成的影響，也使用與CVE-2026-108097差不多的敘述：CVE-2026-108099同樣無法直接被利用，但是攻擊者可搭配其他貢獻模組產生多種漏洞利用路徑，而且，其中一種路徑無須通過身分驗證就能利用，開發團隊發布3.0.10版Entity List修補。