Falhas críticas em Drupal permitem execução remota de código

Se a tua infraestrutura assenta em Drupal e ainda não atualizaste, estás a brincar com fogo. O projeto corrigiu duas vulnerabilidades críticas de execução remota de código (RCE) que afetam todas as versões suportadas do CMS, e a própria equipa de segurança admite que exploits funcionais podem aparecer rapidamente, como conta o BleepingComputer.

Os problemas estão no módulo core Field UI e no módulo contribuído Entity List. De acordo com o aviso da equipa de segurança de Drupal, todas as versões atualmente suportadas do core são afetadas, o que inclui instalações em produção de organismos públicos, universidades e organizações sem fins lucrativos, precisamente o tipo de alvo que os atacantes adoram. Nas contas do projeto, são mais de um milhão de sites a correr Drupal, um número que transforma qualquer bug destes num íman para botnets e grupos de ransomware.

As falhas foram catalogadas como CVE-2026-108097 e CVE-2026-108099. A primeira é uma vulnerabilidade de execução remota de código no Field UI, que por si só não é explorável apenas com o core, mas que se torna perigosa quando entra em cena código personalizado ou módulos contribuídos. A equipa de Drupal reconhece pelo menos um caminho de exploração que nem sequer exige autenticação, o que coloca este bug na categoria dos sonhos para quem faz scanning massivo de servidores.

O segundo caso, CVE-2026-108099, atinge o Entity List, módulo usado para criar listas de entidades sem recorrer a Views. Aqui o padrão repete-se: em combinação com módulos extra ou código à medida, há pelo menos um cenário conhecido em que um atacante consegue executar código remoto sem precisar de credenciais. Depois de várias falhas recentes em software de infraestrutura, o retrato é claro: quem expõe ferramentas de gestão críticas à internet sem políticas de patching rápidas está a pedir para ser o próximo caso de estudo.

Para se protegerem, os administradores devem atualizar o core de Drupal para as versões 10.6.19, 11.3.19 ou 11.4.10, conforme a branch que usam, e levar o módulo Entity List para a versão 3.0.10. Todas as versões anteriores a 10.6.x e as 11 antes de 11.3.x estão oficialmente em fim de vida, portanto continuar nelas, hoje, já não é má sorte, é má gestão de risco. As pré-versões de Drupal 12 antes da beta2 também são afetadas, mas nem deviam estar em produção; a versão 12.0 final chegará já com os patches integrados.

Para quem, por razões técnicas ou burocráticas, ainda não consegue atualizar, a recomendação é desinstalar o módulo Field UI como mitigação eficaz, pelo menos enquanto não há janela para upgrade. O serviço Drupal Steward ajuda a filtrar alguns vetores de ataque conhecidos, mas o próprio projeto admite que não cobre todos os cenários. Em 2026, depender de um WAF como substituto de patches é ilusão de controlo: sem atualizações rápidas, qualquer CMS popular passa de plataforma de conteúdo a porta de entrada privilegiada para comprometimentos em cadeia.

Fonte: BleepingComputer