Drupal'da Kritik Güvenlik Açığı: Oturum Açmadan Uzaktan Kod Çalıştırma Mümkün

Drupal'ın çekirdek bileşenlerinden Field UI modülünde, bir saldırganın site sunucusunda uzaktan kod çalıştırmasına yol açabilecek kritik bir güvenlik açığı tespit edildi. Sorun, 14 Ekim'de yayımlanan Drupal 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle giderildi. CVE-2026-108097 olarak kayıt altına alınan açık, Drupal'ın kendi risk ölçeğinde 25 üzerinden 19 puan alarak "kritik" kategorisinde değerlendiriliyor.

Açık Nasıl Çalışıyor?​

Drupal Güvenlik Ekibi'nin yayımladığı güvenlik bildirimine göre açık, yalnızca çekirdek üzerinden değil; katkılı modüller aracılığıyla tetiklenebiliyor. Bilinen en az bir saldırı yolunun herhangi bir kimlik doğrulaması gerektirmediği de açıkça belirtildi. Güvenlik bildirisi, hangi katkılı modüllerin bu açığa kapı araladığını açıklamadı; özel kodların da benzer bir risk oluşturabileceğine dikkat çekti.
Teknik açıdan bakıldığında sorun, Field UI'ın yönetici tablolarını oluştururken kullandığı render dizilerinde yatıyor. Güncelleme öncesinde tablo öğesinin ön-render adımı, her satırın #region_callback özelliğinde taşınan PHP çağrılabilirini herhangi bir denetim yapmadan call_user_func_array üzerinden çalıştırıyordu. Drupal'ın render motoru, 2019'da yayımlanan 8.8 sürümünden bu yana güvenilmeyen render geri çağrımlarını reddedecek biçimde yapılandırılmış olsa da tablo öğesinin kendi yöntemlerine güvenildiğinden bu denetim devreye girmiyordu. Söz konusu kod yapısının en az Drupal 8.9.0'dan, yani 2020'den bu yana değişmeden kaldığı belirlendi.
Güncellemeyle birlikte bu geri çağrım artık çalıştırılmıyor. Yeni kodda her satırın bölgesi, satırın kendi bölge değerinden okunuyor; değer tanımlı bir bölgeye karşılık gelmiyorsa tablonun gizli bölgesi ya da ilk bölgesi kullanılıyor. Güncelleme sonrasında #region_callback kullanan özel kodların artık çalışmayacağını belirten Pantheon, yöneticilere alan yönetimi ve görüntüleme sayfalarını test etmelerini tavsiye etti.

Hangi Sürümler Etkileniyor, Ne Yapılmalı?​

Güvenlik güncellemesi üç desteklenen dal için sunuldu: Drupal 11.4.x için 11.4.10, Drupal 11.3.x için 11.3.19 ve Drupal 10.6.x için 10.6.19. Üretim ortamı için önerilmeyen Drupal 12.0.0 beta, 12.0.0-beta2 sürümüyle güncellendi. Drupal 11.2.x ve altı, 10.5.x ve altı ile Drupal 8 ve 9 için herhangi bir yama yayımlanmadı; bu sürümler destek ömrünü tamamlamış durumda. Ayrıca 11.3.x ve 10.6.x dallarının güvenlik desteğinin Aralık 2026'da sona ereceği de hatırlatıldı.
4 Ekim haftasına ait verilere göre drupal.org'a sürüm bildiren 531.499 sitenin 151.442'si, yani yüzde 28,5'i, etkilenen ve güncelleme almayan bir dalda çalışıyordu. Güncelleme hemen yapılamıyorsa Field UI modülünün (field_ui) kaldırılması geçici bir koruma sağlıyor; ancak bu durumda alan ve görüntüleme yönetimi sayfaları kullanılamaz hale geliyor. Drupal'ın Standart kurulum profiliyle kurulan sitelerin, modül sonradan kaldırılmadıkça Field UI'ı barındırdığı belirtildi.

Drupal Steward ve WAF Koruması​

Drupal Güvenlik Ekibi tarafından kuralları yazılan web uygulama güvenlik duvarı hizmeti Drupal Steward, bu açığa yönelik bilinen bazı saldırı vektörlerini zaten engelliyor. Acquia, Pantheon, Ironstar ve Skpr, bu hizmeti müşterileri için çalıştırıyor. Bununla birlikte güvenlik bildirisi, Steward'ın tüm olası saldırı yollarını kapsamadığını ve bu hizmeti kullanan sitelerin de güncelleme yapması gerektiğini vurguladı.
Güvenlik ekibi, yayın tarihinde açığa ait kamuya açık bir istismar kodu bulunmadığını belirtti. 15 Ekim itibarıyla da herhangi bir istismar kodu ortaya çıkmamış, aktif bir saldırı girişimi raporlanmamıştı. Ekip, 12 Ekim'de yayın öncesi bir duyuru yaparak siteleri zaman ayırmaya çağırmış ve "saatler ya da günler içinde istismarların geliştirilebileceği" uyarısında bulunmuştu. Mayıs ayında, yalnızca PostgreSQL kullanan siteleri etkileyen bir SQL enjeksiyon açığı için güvenlik bildirisi yayımlandıktan iki gün içinde istismar girişimleri gözlemlenmiş, CISA da söz konusu açığı istismar edilen güvenlik açıkları kataloğuna eklemişti.

Bağımsız Modül ve Ek Yamalar​

Entity List modülü de aynı koşulları taşıyan ve oturum açılmadan ulaşılabilen bir yolu içeren ayrı bir kritik uzaktan kod çalıştırma açığıyla karşı karşıya kaldı; bu açık CVE-2026-108099 olarak kayıt altına alındı. Modülün 3.0.10 sürüm notları, düzeltmenin Field UI değişikliğini yansıttığını belirtiyor. Çekirdek güncellemesi bu modülü otomatik olarak güncellemiyor. 4 Ekim haftasında 90 sitenin bu modülü kullandığı raporlandı.
Aynı çekirdek sürümleri, Link modülündeki (CVE-2026-108515) ve Navigation modülündeki (CVE-2026-108514) iki orta düzey kritik siteler arası betik çalıştırma açığını da kapattı; bu açıkların her ikisi de en azından oturum açmış bir kullanıcı gerektiriyor. Drupal 7, drupal.org üzerinde Ocak 2025'te destek ömrünü tamamlamış olsa da Pantheon, Tag1 Consulting iş birliğiyle sunduğu uzun vadeli destek kapsamında Drupal 7.107 sürümünü yamayı geriye taşıyarak yayımladı. Açığı raporlayanlar arasında Güvenlik Ekibi'nden Drew Webber ve Octavio Galland yer alıyor.

Sıkça Sorulan Sorular​

CVE-2026-108097 açığı tam olarak nedir ve hangi Drupal bileşenini etkiliyor?​

CVE-2026-108097, Drupal'ın çekirdek Field UI modülündeki kritik bir güvenlik açığıdır. Bu modül, site yöneticilerinin alanları ve görüntüleme ayarlarını yönettiği yönetici sayfalarının arkasında çalışır. Açık, bir saldırganın site sunucusunda uzaktan kod çalıştırmasına olanak tanıyabilir ve Drupal'ın kendi risk ölçeğinde 25 üzerinden 19 puan alarak kritik olarak derecelendirilmiştir.

Açığa ulaşmak için oturum açmak gerekiyor mu?​

Drupal Güvenlik Ekibi'nin bildirimine göre açık, çekirdek üzerinden tek başına tetiklenemiyor; katkılı modüller veya özel kodlar aracılığıyla ulaşılması gerekiyor. Bilinen en az bir saldırı yolunun herhangi bir kimlik doğrulaması gerektirmediği belirtildi.

Hangi Drupal sürümleri güncelleme aldı, hangileri almadı?​

Güncelleme Drupal 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle sunuldu. Drupal 11.2.x ve altı, 10.5.x ve altı ile Drupal 8 ve 9 için yama yayımlanmadı; bu sürümler destek ömrünü tamamlamış durumda.

Hemen güncelleme yapamayan siteler ne yapabilir?​

Güvenlik bildirisi, Field UI modülünün (field_ui) kaldırılmasının güncelleme yapılana kadar koruma sağlayacağını belirtiyor. Ancak modül kaldırıldığında alan ve görüntüleme yönetimi sayfaları kullanılamaz hale geliyor. Bunun yanı sıra Drupal Steward hizmetini kullanan siteler için bazı bilinen saldırı vektörleri zaten engelleniyor; ancak bu, tüm saldırı yollarını kapsamıyor.

Entity List modülü bu açıkla nasıl ilişkili?​

Entity List modülü, Field UI açığıyla aynı koşulları taşıyan ve oturum açılmadan ulaşılabilen ayrı bir kritik uzaktan kod çalıştırma açığını (CVE-2026-108099) barındırıyor. Modülün 3.0.10 sürümüyle yayımlanan düzeltme, Field UI değişikliğini yansıtıyor. Drupal çekirdek güncellemesi bu modülü otomatik olarak güncellemiyor; dolayısıyla modülün ayrıca güncellenmesi gerekiyor.