Drupal, kritik RCE açıklarını kapattı, saldırılar yakında başlayabilir

Drupal, içerik yönetim sistemi üzerinde çalışan her desteklenen sürüm için uzaktan kod yürütme (RCE) yapabilen iki kritik güvenlik açığını kapattı. Bu güvenlik sorunları, yazılımın çekirdek yapısındaki Field UI modülünü ve katkıda bulunan Entity List modülünü etkiliyor. Drupal, bu hafta başında yöneticileri güncellemeleri zamanında uygulamaları konusunda uyardı ve saldırganların açıkların duyurulmasının ardından kısa sürede istismar geliştirebileceğini belirtti.

Kritik Güvenlik Açıkları ve Etkileri

Drupal Güvenlik Ekibi, yöneticilerin çekirdek güncellemeleri için zaman ayırmalarını öneriyor. Açıklamada, "Saldırganlar, açıkların duyurulmasından sonra saatler veya günler içinde istismar geliştirebilir," ifadesine yer verildi. Bu nedenle, yöneticilerin 14 Ekim'den önce sitelerinin sürümüne uygun en son yamanın uygulanması gerektiği vurgulandı.

Açıkların detayları şu şekilde:

• CVE-2026-108097: Field UI modülündeki uzaktan kod yürütme açığı, saldırganların etkilenen sunucularda rastgele kod çalıştırmasına olanak tanıyor.
• CVE-2026-108099: Entity List modülündeki bir hata, uzaktan kod yürütme yeteneği sağlıyor.

Güncelleme Önerileri

Drupal yöneticileri, çekirdek yazılımlarını 10.6.19, 11.3.19 veya 11.4.10 sürümlerine güncellemeli ve Entity List modülünü 3.0.10 sürümüne yükseltmelidir. Ayrıca, 10.6.x sürümünden önceki tüm Drupal sürümleri ve 11.3.x sürümünden önceki tüm 11 sürümleri artık desteklenmiyor.

Geliştiriciler, güvenli bir sürüme geçemeyen yöneticilere, etkili bir önlem olarak Drupal'ın çekirdek Field UI modülünü kaldırmalarını öneriyor. Ayrıca, Drupal Steward bazı bilinen saldırı vektörlerine karşı koruma sağlasa da, tüm olası istismarları kapsamayabilir.

Saldırıların Önlenmesi ve Riskler

Saldırganlar geçerli kimlik bilgilerine sahip olduklarında, yalnızca %37’lik bir eylem engelleme oranı ile karşı karşıya kalıyorlar. Bu, ilk erişimden sonra gerçekleşen olayların önlenmesinin zorlaştığını gösteriyor. Blue Report 2026, müşteri üretim ortamlarında gerçekleştirilen 338 milyon simülasyon üzerinden savunma tekniklerini ölçüyor.

Sonuç olarak, Drupal kullanıcılarının bu kritik güncellemeleri bir an önce uygulamaları, olası saldırılara karşı sitelerini korumaları açısından büyük önem taşıyor. Güncellemelerin zamanında yapılmaması, ciddi güvenlik açıklarına yol açabilir.