Drupal 兩項重大 RCE 須配合其他模組 一條路徑毋須登入
修補版本為 Core 11.4.10、11.3.19、10.6.19 及 Entity List 3.0.10；未及升級可先移除 Field UI
Drupal 開發團隊在 2026 年 10 月 14 日發出安全公告，修補 CVE-2026-108097 與 CVE-2026-108099 兩個重大漏洞。iThome 報道指出，Drupal 給兩者的嚴重程度都是 19 分（滿分 25 分），攻擊者有機會藉此遠端執行任意程式碼；問題分別出在 Drupal Core 的 Field UI，以及 Entity List 模組。尚未裝上對應版本的網站，要由管理人員處理。
iThome 引述開發團隊的說明，兩個漏洞都不能單獨利用。攻擊要成立，得先有其他貢獻模組可以串連，這種組合可以走出多種路徑；在團隊已知的路徑裡，有一種不必先登入帳號。報道沒有寫出那些模組的名字，也沒有提到在野攻擊，亦沒有點名受影響網站。
兩個組件分別要升到哪個版本
| 組件 | 漏洞編號 | 已提供修補的版本 | 一時未能升級 |
|---|---|---|---|
| Drupal Core 的 Field UI | CVE-2026-108097 | 11.4.10、11.3.19、10.6.19 | 可先移除 Field UI |
| Entity List 模組 | CVE-2026-108099 | 3.0.10 | 報道只寫明要升級 |
Field UI 還有另一個情況。iThome 指出，網站自行加入的程式碼如果用到有問題的功能，亦可能受影響。Core 的修補放在 11.4.10、11.3.19 和 10.6.19；更新若一時三刻未能裝上，開發團隊提出的緩解辦法是移除 Field UI。
Entity List 的風險說明與 Field UI 接近：同樣要有其他貢獻模組才可以串連，同樣存在一種不必登入的路徑。iThome 寫到的處理方法只有把模組升至 3.0.10，沒有寫移除模組或其他臨時步驟。
這些版號是已經包含修補的版本。iThome 沒有逐一列出更早的受影響版號。還停在 Drupal 10.6、11.3 或 11.4，而又未到上述版號的網站，應再對照官方公告；10.6、11.3、11.4 以外的版本線是否受影響，報道沒有說明。
19 分對站長的意義
iThome 報道把兩項漏洞稱為重大，並寫到開發團隊呼籲用戶盡快安裝修補。按公告列出的條件推論，網站會不會被利用，還要看有沒有裝上可以串連的其他貢獻模組。Field UI 還要另外留意自訂程式碼會不會呼叫到有問題的功能。公告沒有叫一般訪客改密碼或停止瀏覽，要行動的是管理這些網站的人。
移除 Field UI 可以理解為升級完成前的過渡：先拿掉公告點名的組件，縮短這項問題留在網站上的時間，之後仍然要回到 11.4.10、11.3.19 或 10.6.19。由於報道沒有交代移除後，已有內容和其他模組會否出現相容問題，正式環境改動前，較穩妥的做法是先在測試環境確認。
接下來可以觀察兩件事：開發團隊會否公開那些能夠串連利用的貢獻模組，以及各個網站能否裝上上述版本。在名單出現之前，仍然開着 Field UI，或使用 Entity List 而未升級的網站，宜先按公告處理。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Drupal修補重大RCE漏洞，呼籲用戶儘速採取行動 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
