Drupal เตือนอัปเดตด่วน พบช่องโหว่ RCE ระดับ Critical ในส่วน Core

Drupal ประกาศออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่รวม 5 รายการ โดยในจำนวนนี้มีข้อบกพร่องระดับวิกฤต (Critical-severity) 2 รายการ ที่อาจเปิดช่องให้ผู้ไม่หวังดีทำการรันโค้ดจากระยะไกล (RCE) ได้

ช่องโหว่แรกพบในโมดูล Entity List ซึ่งเป็นเครื่องมือช่วยสร้างรายการเอนทิตีโดยไม่ต้องผ่าน Views โดยถูกติดตามด้วยรหัส CVE-2026-108099 แม้ข้อบกพร่องนี้จะไม่สามารถโจมตีได้หากใช้เพียงโมดูลนี้โดดๆ แต่พบเส้นทางการโจมตีผ่านโมดูลเสริม (Contributed modules) อื่นๆ

ทาง Drupal ระบุว่า พบเส้นทางการโจมตีอย่างน้อยหนึ่งทางที่ไม่ต้องใช้การยืนยันตัวตน นอกจากนี้ Code ที่เขียนขึ้นเอง (Custom code) อาจกลายเป็นช่องทางให้ฟังก์ชันที่มีช่องโหว่ถูกเข้าถึงและถูกโจมตีได้เช่นกัน

รายการที่สองเกิดขึ้นในโมดูล Field UI ภายใน Drupal core ติดตามด้วยรหัส CVE-2026-108097 ซึ่งมีลักษณะคล้ายกันคือไม่สามารถโจมตีผ่าน Drupal core เพียงอย่างเดียวได้ แต่โมดูลเสริมต่างๆ ทำให้เกิดเส้นทางการโจมตีที่ร้ายแรง รวมถึงมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องยืนยันตัวตน สำหรับการบรรเทาผลกระทบเบื้องต้น ผู้ใช้สามารถเลือกถอนการติดตั้งโมดูล Field UI ของ core ออกได้ เพื่อความปลอดภัย ผู้ใช้ควรดำเนินการอัปเดต Entity List เป็นเวอร์ชัน 3.0.10 และอัปเดต Drupal เป็นเวอร์ชัน 11.4.10, 11.3.19 หรือ 10.6.19 ทั้งนี้ Drupal เวอร์ชันก่อนหน้าได้สิ้นสุดอายุการใช้งาน (End-of-life) แล้ว และจะไม่มีการออกอัปเดตความปลอดภัยให้อีกต่อไป

นอกเหนือจากช่องโหว่ RCE แล้ว การอัปเดตครั้งนี้ยังได้แก้ไขช่องโหว่ Cross-site Scripting (XSS) ในโมดูล Link (CVE-2026-108515) และโมดูล Navigation (CVE-2026-108514) รวมถึงช่องโหว่ XSS ใน Gin ซึ่งเป็น Theme สำหรับการจัดการ โดยผู้ใช้ควรขยับไปใช้ Gin เวอร์ชัน 5.0.16 หรือ 4.1.4 เพื่อปิดช่องโหว่ดังกล่าว

แม้ในขณะนี้จะยังไม่มีรายงานการนำช่องโหว่เหล่านี้ไปใช้โจมตีจริง แต่เมื่อวันที่ 12 ตุลาคมที่ผ่านมา Drupal ได้ออก คำเตือน ให้ผู้ใช้งานเตรียมตัวอัปเดตระบบทันที เนื่องจากคาดการณ์ว่าอาจมีการพัฒนาการโจมตี (Exploits) ขึ้นภายในเวลาเพียงไม่กี่ชั่วโมงหรือหลักวันหลังจากนี้ โดยสามารถตรวจสอบข้อมูลเพิ่มเติมได้ที่หน้า security advisories ของ Drupal