--- title: "Drupal łata dwie krytyczne luki RCE i ostrzega przed szybkim powstaniem exploitów" description: "Drupal opublikował poprawki dla pięciu podatności, w tym dwóch krytycznych luk umożliwiających zdalne wykonanie kodu. Administratorzy powinni zaktualizować system i moduły do wskazanych wersji, ponieważ nowe ścieżki ataku mogą powstać w krótkim czasie." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow/index.md" date_published: "2026-10-19T22:41:56.966Z" date_modified: "2026-10-19T22:42:02.612Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "drupal" - "podatnosci" - "rce" - "xss" - "aktualizacje" source_url: "https://www.securityweek.com/drupal-warns-of-fast-exploitation-risk-for-critical-core-rce-flaw/" source_name: "SecurityWeek" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1792432863812.jpeg" image_alt: "red padlock on black computer keyboard" image_credit: "© FlyD / Unsplash" image_credit_url: "https://unsplash.com/@flyd2069" --- # Drupal łata dwie krytyczne luki RCE i ostrzega przed szybkim powstaniem exploitów > Drupal wydał poprawki dla pięciu luk, w tym dwóch krytycznych podatności RCE. Ścieżki ataku mogą prowadzić przez moduły dodatkowe. ## Kluczowe informacje - Drupal naprawił pięć podatności, w tym dwie krytyczne luki RCE. - Ścieżki ataku wykorzystują moduły dodatkowe, a część z nich nie wymaga uwierzytelnienia. - Zalecane są aktualizacje Drupala i modułu Entity List do wskazanych wersji. - Poprawki obejmują także luki XSS w modułach Link, Navigation oraz motywie Gin. Drupal opublikował poprawki dla pięciu podatności, w tym dwóch krytycznych luk, które w określonych konfiguracjach mogą prowadzić do zdalnego wykonania kodu, czyli RCE. Problem dotyczy modułu Entity List oraz modułu Field UI obecnego w jądrze Drupala. W obu przypadkach samo jądro systemu lub pojedynczy moduł nie tworzy pełnej ścieżki ataku, ale ryzyko rośnie po połączeniu z modułami dodatkowymi. ## Krytyczne podatności zależne od modułów dodatkowych Pierwsza luka, oznaczona jako CVE-2026-108099, znajduje się w module Entity List. Moduł pozwala tworzyć listy encji bez użycia Views. Według Drupala podatność nie jest możliwa do wykorzystania przy użyciu samego Entity List, jednak moduły dodatkowe mogą udostępniać odpowiednie ścieżki ataku. Co najmniej jedna znana ścieżka nie wymaga uwierzytelnienia. Ryzyko może pojawić się także w instalacjach zawierających własny kod, który udostępnia podatną funkcjonalność. Druga krytyczna luka, CVE-2026-108097, dotyczy modułu Field UI w jądrze Drupala. Również w tym przypadku samo jądro nie wystarcza do wykorzystania błędu, ale moduły dodatkowe tworzą poważne ścieżki ataku. Drupal wskazuje, że przynajmniej jedna z nich może działać bez uwierzytelnienia. Jako działanie łagodzące producent wskazuje odinstalowanie modułu Field UI, jeśli nie jest potrzebny. - Entity List należy zaktualizować do wersji 3.0.10. - Zalecane wersje Drupala to 11.4.10, 11.3.19 oraz 10.6.19. - Wcześniejsze wydania Drupala zakończyły cykl życia i nie otrzymują już poprawek bezpieczeństwa. - W przypadku Field UI możliwe jest odinstalowanie modułu jako działanie łagodzące, jeśli instalacja go nie wykorzystuje. ## Poprawki obejmują także podatności XSS Nowe aktualizacje naprawiają również podatności typu cross-site scripting, znane jako XSS. Luki w module Link w jądrze Drupala są wspólnie śledzone jako CVE-2026-108515, natomiast błąd w module Navigation otrzymał oznaczenie CVE-2026-108514. Osobna poprawka dotyczy motywu administracyjnego Gin, w którym podatność mogła prowadzić do ataków XSS. Naprawione wersje tego motywu to 5.0.16 oraz 4.1.4. ## Drupal ostrzega przed szybkim opracowaniem exploitów Drupal nie poinformował, aby którakolwiek z opisanych podatności była wykorzystywana w rzeczywistych atakach. Jednocześnie 12 października projekt zalecił administratorom zarezerwowanie czasu na aktualizacje jądra, ostrzegając, że exploity mogą powstać w ciągu godzin lub dni. Taki komunikat ma znaczenie szczególnie dla instalacji korzystających z wielu modułów dodatkowych, własnego kodu oraz funkcji administracyjnych. Administratorzy powinni sprawdzić wersję używanego Drupala, modułu Entity List i motywu Gin, a następnie zastosować odpowiednie poprawki. Warto także ustalić, czy instalacja korzysta z Field UI oraz czy aktywne moduły dodatkowe lub własny kod mogą udostępniać funkcje powiązane z opisanymi lukami. Drupal podkreśla, że bezpieczną podstawą jest korzystanie z wydań, które nadal otrzymują aktualizacje. Dodatkowe informacje znajdują się na stronie biuletynów bezpieczeństwa projektu. ## Wyjaśnienie pojęć ### [zdalne wykonanie kodu](https://najnowsze-informacje.pl/definicje/zdalne-wykonanie-kodu) Podatność umożliwiająca napastnikowi uruchomienie własnych poleceń lub programu na zaatakowanym komputerze przez sieć, bez fizycznego dostępu do urządzenia. ### [Odbity XSS](https://najnowsze-informacje.pl/definicje/odbity-xss) Odbity XSS to podatność, w której spreparowane dane są zwracane przez aplikację i wykonywane jako kod w przeglądarce użytkownika. Atak może prowadzić do manipulowania treścią strony lub wykonywania działań w jej kontekście. ## Źródło pierwotne [SecurityWeek](https://www.securityweek.com/drupal-warns-of-fast-exploitation-risk-for-critical-core-rce-flaw/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-19T22:41:56.966Z - **Ostatnia aktualizacja:** 2026-10-19T22:42:02.612Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow](https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Drupal łata dwie krytyczne luki RCE i ostrzega przed szybkim powstaniem exploitów”, 2026-10-19, https://najnowsze-informacje.pl/cyberbezpieczenstwo/drupal-lata-dwie-krytyczne-luki-rce-i-ostrzega-przed-szybkim-powstaniem-exploitow