أصدرت Drupal في 14 أكتوبر 2026 النشرة الأمنية SA-CORE-2026-014 لمعالجة ثغرة حرجة تتيح تنفيذ الشيفرات البرمجية عن بُعد ضمن وحدة Field UI في نواة نظام إدارة المحتوى. تحمل الثغرة المعرف (CVE-2026-108097)، وترافقت مع إطلاق إصلاحات لثلاثة فروع مدعومة.
صنف فريق Drupal الأمني خطورة الثغرة عند 19 من 25 وفق مقياسه الخاص المستقل عن معيار CVSS. يمنح متجه الهجوم المنشور أعلى درجات التأثير على مستويات السرية والسلامة، مع الإشارة إلى أن إمكانية الاستغلال تعد نظرية حتى الآن. تخلو النشرة من أي توثيق لهجمات فعلية، ولم ترصد أي حوادث استغلال نشطة حتى 15 أكتوبر وفقاً لتقرير The Hacker News.
أوضحت Drupal استحالة استغلال الثغرة عبر النواة منفردة، في حين تتوفر مسارات هجوم خطيرة من خلال الإضافات المساهمة. يبرز بين هذه المسارات مسار هجومي واحد على الأقل ينفذ دون الحاجة إلى مصادقة أو امتلاك المهاجم لحساب صالح على النظام. تحمل الشيفرات البرمجية المخصصة احتمالية تعريض الأنظمة لنقاط الضعف ذاتها، في وقت امتنعت فيه النشرة الرسمية عن تحديد أسماء الإضافات المتأثرة.
يمتد نطاق التأثر ليشمل إصدارات Drupal من 8.9.0 حتى ما قبل 10.6.19، ومن 11.0.0 حتى ما قبل 11.3.19، ومن 11.4.0 إلى ما قبل 11.4.10، إضافة إلى الإصدارات التجريبية من 12.0.0-alpha1 حتى ما قبل 12.0.0-beta2. تتوفر التحديثات الأمنية في الإصدارات 11.4.10 و11.3.19 و10.6.19. يقع الإصدار التجريبي 12.0.0-beta2 خارج دائرة الخطر لتضمينه حزمة الإصلاحات مسبقاً.
تواجه الإصدارات القديمة غير المدعومة، وتحديداً 11.2 وما قبله و10.5 وما قبله إلى جانب إصدارات Drupal 9 و8.9، خطراً مؤكداً وفقاً لبيانات منصة Pantheon، ولن تحصل على أي تحديثات أمنية. يستدعي هذا الوضع من مدراء الأنظمة تنفيذ ترقية فورية نحو الإصدارات المدعومة لضمان استمرارية الحماية.
كتدبير وقائي مؤقت قبل التحديث، تنصح Drupal بإلغاء تثبيت وحدة Field UI من النواة لتأمين المواقع. يعرقل برنامج Drupal Steward بعض مسارات الاستغلال المكتشفة دون أن يوفر حماية شاملة، لتبقى عملية التحديث الجذري خطوة حتمية لجميع المستخدمين للحفاظ على استقرار العمليات.
أطلقت Drupal بالتزامن النشرة SA-CONTRIB-2026-218 لمعالجة ثغرة حرجة إضافية تتيح تنفيذ الشيفرات عن بعد في إضافة Entity List بالتقييم الأمني نفسه البالغ 19 من 25. تضمن الإعلان نشرتين لثغرتي برمجة عبر المواقع XSS بمتوسط خطورة ضمن النواة، حملتا الرمزين SA-CORE-2026-015 وSA-CORE-2026-016. وتتطلب إضافة Entity List عملية تحديث مستقلة عن مسار تحديثات النواة.
تولى الكشف عن الثغرة درو ويبر (Drew Webber) من فريق Drupal الأمني وأوكتافيو غالاند (Octavio Galland). وساهم في تطوير المعالجة البرمجية أعضاء الفريق الأمني لي رولاندز (Lee Rowlands) وديف لونغ (Dave Long)، فيما تولى تنسيق الإفصاح فريق ضم سوان كالاتا (Swan Kalata) وغريغ كنادسون (Greg Knaddison) وآخرين.
وتفيد Pantheon بأن مواقع Drupal 7 المستضافة لديها تحصل على الإصلاح عبر الإصدار 7.107 طويل الدعم، وأن بقية عملائها يحدثون النواة بنقرة واحدة من لوحة التحكم. وتشير النشرة إلى أن الشيفرة المخصصة قد تكشف الوظيفة الضعيفة نفسها، وأن حالة الاستغلال المسجلة نظرية بتاريخ 14 أكتوبر، وهو تاريخ النشر.
