Drupal'da Kritik Güvenlik Açığı: Katkılı Modüller Üzerinden Kimlik Doğrulamasız Uzaktan Kod Çalıştırma Mümkün

Drupal çekirdeğinin Field UI modülünde kritik bir güvenlik açığı tespit edildi. CVE-2026-108097 olarak izlenen bu açık, saldırganlara site sunucusunda uzaktan kod çalıştırma (RCE) imkânı tanıyabiliyor. Drupal Güvenlik Ekibi, açığın yalnızca çekirdek üzerinden erişilemeyeceğini, ancak katkılı modüller aracılığıyla birden fazla istismar yolunun bulunduğunu ve bunlardan en az birinin herhangi bir oturum açma gerektirmediğini açıkladı. Düzeltmeler 14 Ekim'de Drupal 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle yayımlandı.

Açığın Kapsamı ve Risk Düzeyi

Açık, site yöneticilerinin alanları ve bunların görüntülenme biçimlerini yönettiği yönetim sayfalarının arkasında çalışan Field UI modülünde yer alıyor. Drupal, bu açığı kendi risk ölçeğinde 25 üzerinden 19 puan vererek "kritik" düzey olarak nitelendirdi. Güvenlik danışma belgesi, açığa giden yolu açan katkılı modüllerin adlarını vermedi; öte yandan özel kodların da bu açığı gün yüzüne çıkarabileceği belirtildi. Açığı raporlayanlar arasında Güvenlik Ekibi'nden Drew Webber ve Octavio Galland yer alıyor.

Hangi Sürümler Etkileniyor, Hangileri Güncellendi?

Desteklenen her dal için yayımlanan düzeltmeli sürümler şöyle: Drupal 11.4.x için 11.4.10, Drupal 11.3.x için 11.3.19 ve Drupal 10.6.x için 10.6.19. Drupal 12.0.0 beta kapsamında ise üretim ortamında kullanılmaması gereken 12.0.0-beta2 sürümü çıkarıldı. Drupal 11.2.x ve altı, 10.5.x ve altı ile Drupal 8 ve 9 sürümleri ömrünü tamamladığından bu sürümler için herhangi bir düzeltme sunulmadı. Hem 11.3.x hem de 10.6.x dalları Aralık 2026'da güvenlik desteğini yitirecek.

4 Ekim haftasında drupal.org'a Drupal çekirdek sürümünü bildiren 531.499 sitenin 151.442'si, yani yüzde 28,5'i, danışma belgesinin etkilenen olarak tanımladığı ve düzeltme almayan bir dalda çalışıyordu.

Hemen Güncelleme Yapılamıyorsa Ne Yapılmalı?

Güncellemeyi henüz uygulayamayan siteler için danışma belgesi, Field UI modülünün (field_ui) kaldırılmasının "siteler güncellenirken koruma sağlayacağını" belirtiyor. Modül kaldırıldığında alanları ve görüntülemelerini yönetmeye yönelik yönetim sayfaları kullanılamaz hale geliyor. Field UI, Drupal'ın Standart kurulum profili tarafından otomatik olarak yükleniyor; dolayısıyla bu profil üzerine kurulu bir sitede modül, biri tarafından kaldırılmadıkça varsayılan olarak etkin durumda bulunuyor.

Drupal Steward, Güvenlik Ekibi tarafından yazılan kurallarla bu açığa yönelik bilinen bazı saldırı vektörlerini zaten engelliyor. Acquia, Pantheon, Ironstar ve Skpr bu hizmeti müşterileri için çalıştırıyor. Ancak danışma belgesi, hizmetin tüm olası istismarları kapsamadığını ve söz konusu sitelerin yine de güncelleme yapması gerektiğini vurguluyor.

Açık Teknik Olarak Nasıl Çalışıyordu?

Field UI, yönetim tablolarını Drupal'ın PHP dizilerinden HTML'e dönüştürdüğü render dizileri üzerinden oluşturuyor. Düzeltmeden önce tablo öğesinin ön-render adımı, her tablo satırının #region_callback özelliğinde taşıdığı PHP çağrılabilirini call_user_func_array aracılığıyla, bu çağrılabilirin ne olduğuna dair herhangi bir denetim yapmaksızın çalıştırıyordu. Drupal'ın render sistemi, 2019'daki 8.8 sürümünden bu yana güvenilmeyen render geri çağrılarını çalıştırmayı reddediyor; bu kısıtlama, render sisteminin keyfi geri çağrıları çok kolay tetikleyebildiğini ortaya koyan önceki güvenlik danışma belgelerinin ardından eklenmişti.

Render sistemi tablo öğesinin kendi yöntemlerine güvendiğinden ön-render adımını çalıştırıyordu ve denetim, bu adımın ardından yürütülen çağrılabilirlere hiç ulaşmıyordu. 11.4.10 kodunda artık geri çağrı çalıştırılmıyor; bunun yerine her satırın bölgesi, satırın kendi bölge değerinden okunuyor; bu değer bilinen bir bölge değilse tablonun gizli bölgesi ya da ilk bölgesi kullanılıyor. Söz konusu çağrı, en azından 2020'deki Drupal 8.9.0 sürümünden bu yana kodda yer alıyordu. Çekirdeğin kendisinde geri çağrı yalnızca Field UI'nin kendi görüntüleme formları tarafından ayarlanıyor. field_ui_table satırında #region_callback ayarlayan özel kodlar, güncellemenin ardından bu geri çağrının artık çalışmadığını görecek. Pantheon, sitelerin bu tür kodları gözden geçirmesini ve güncellemeden sonra alanları yönet ile görüntülemeyi yönet sayfalarını test etmesini tavsiye ediyor.

Diğer Güvenlik Güncellemeleri ve Ek Bağlam

Entity List modülü de aynı koşulları taşıyan, kimlik doğrulaması gerektirmeyen bilinen bir yol dahil olmak üzere kendi kritik uzaktan kod çalıştırma danışma belgesini CVE-2026-108099 olarak aldı. Modülün 3.0.10 sürüm notları, düzeltmenin Field UI değişikliğini yansıttığını belirtiyor; çekirdek güncellemesi modülü güncellemediğinden bu modülün ayrıca güncellenmesi gerekiyor. 4 Ekim haftasında bu modülü kullanan 90 site raporlandı.

Aynı çekirdek sürümleri, Link modülündeki (CVE-2026-108515) ve Navigation modülündeki (CVE-2026-108514) iki orta düzeyde kritik siteler arası betik çalıştırma (XSS) açığını da kapatıyor; her iki açık da en azından oturum açmış bir kullanıcı gerektiriyor. Drupal 7, Ocak 2025'te drupal.org'da ömrünü tamamladı; ancak Pantheon, Tag1 Consulting ile yürüttüğü Drupal 7 uzun vadeli destek kapsamında düzeltmenin geri portunu içeren Drupal 7.107'yi yayımladığını açıkladı.

Danışma belgesi, yayımlandığı sırada kamuya açık bir istismar kodunun bulunmadığını belirtti. 15 Ekim itibarıyla herhangi bir istismar kodu ortaya çıkmamıştı ve ne danışma belgesi ne de kamuya açık raporlar bu açığı kullanan saldırıları tanımladı. Güvenlik Ekibi, sürümü 12 Ekim'de önceden duyurmuş ve siteleri bunun için zaman ayırmaya çağırmıştı; "çünkü istismarlar saatler veya günler içinde geliştirilebilir" ifadesi kullanılmıştı. Mayıs ayında Drupal, yalnızca PostgreSQL üzerindeki siteleri etkileyen bir çekirdek SQL enjeksiyon açığına ilişkin danışma belgesinin yayımlanmasından iki gün sonra istismar girişimlerini raporlamış ve CISA bu açığı istismar edilen güvenlik açıkları kataloğuna eklemişti.

Sıkça Sorulan Sorular

CVE-2026-108097 açığı nedir ve hangi modülü etkiliyor?

CVE-2026-108097, Drupal çekirdeğinin Field UI modülünde bulunan kritik bir güvenlik açığıdır. Bu modül, site yöneticilerinin alanları ve görüntüleme biçimlerini yönettiği yönetim sayfalarının altyapısını oluşturuyor. Açık, katkılı modüller aracılığıyla saldırganlara sunucu üzerinde uzaktan kod çalıştırma imkânı tanıyabiliyor ve Drupal'ın risk ölçeğinde 25 üzerinden 19 puan alarak "kritik" düzeyde değerlendiriliyor.

Açığı kapatmak için hangi Drupal sürümlerine güncelleme yapılmalı?

Drupal 11.4.x dalı için 11.4.10, Drupal 11.3.x dalı için 11.3.19 ve Drupal 10.6.x dalı için 10.6.19 sürümlerine güncelleme yapılması gerekiyor. Drupal 11.2.x ve altı, 10.5.x ve altı ile Drupal 8 ve 9 sürümleri ömrünü tamamladığından bu sürümler için düzeltme sunulmadı.

Hemen güncelleme yapamayan siteler ne yapabilir?

Güvenlik danışma belgesi, Field UI modülünün (field_ui) kaldırılmasının güncelleme yapılana kadar koruma sağlayacağını belirtiyor. Ancak modül kaldırıldığında alanları ve görüntülemelerini yönetmeye yönelik yönetim sayfaları kullanılamaz hale geliyor. Drupal Steward hizmetini kullanan Acquia, Pantheon, Ironstar ve Skpr müşterileri için bilinen bazı saldırı vektörleri zaten engelleniyor; yine de bu sitelerin güncelleme yapması tavsiye ediliyor.

Entity List modülü bu açıktan ayrı olarak ele alınmalı mı?

Evet. Entity List modülü, CVE-2026-108099 koduyla ayrı bir kritik uzaktan kod çalıştırma danışma belgesi aldı. Modülün 3.0.10 sürümü düzeltmeyi içeriyor ve çekirdek güncellemesi bu modülü otomatik olarak güncellemediğinden ayrıca güncellenmesi gerekiyor.

Açık için kamuya açık bir istismar kodu mevcut mu?

Danışma belgesinin yayımlandığı sırada kamuya açık bir istismar kodu bulunmuyordu. 15 Ekim itibarıyla herhangi bir istismar kodu ortaya çıkmamıştı ve bu açığı kullanan saldırılar raporlanmamıştı. Bununla birlikte Güvenlik Ekibi, istismarların saatler veya günler içinde geliştirilebileceği uyarısında bulunmuştu.