Správci mají ověřit opravy jádra i doplňkového modulu Entity List. Samostatná přítomnost zranitelné komponenty ještě nepopisuje celou cestu útoku; rozhoduje také kombinace modulů a vlastního kódu.

Root.cz 19. října 2026 upozornil na dvě kritické chyby Drupalu umožňující vzdálené spuštění kódu v určitých kombinacích komponent. Původní bezpečnostní bulletiny projektu byly vydány 14. října. Týkají se modulu Field UI v jádře a doplňkového modulu Entity List. Při kontrole webu je proto potřeba posuzovat více než jen hlavní číslo verze CMS.

Chyba CVE-2026-108097 se nachází ve Field UI. Podle bulletinu SA-CORE-2026-014 není přímo zneužitelná jen se samotným jádrem, existuje však více závažných cest přes doplňkové moduly a alespoň jedna známá cesta nevyžaduje přihlášení. Zranitelnou funkčnost může zpřístupnit také vlastní kód provozovatele. Označení „není přímo zneužitelné v samotném jádře“ tedy neznamená, že běžný rozšířený web je v bezpečí.

Pro podporované větve výrobce uvádí Drupal 10.6.19, 11.3.19 a 11.4.10. Starší větve 10.5 a 11.2 a nižší už podle tohoto bulletinu bezpečnostní pokrytí nemají; Drupal 8 a 9 jsou rovněž po konci podpory. Jako dočasné omezení rizika uvádí projekt odinstalování modulu field_ui. Ochrana Drupal Steward pokrývá jen některé známé vektory, a proto nenahrazuje aktualizaci.

Samostatný bulletin SA-CONTRIB-2026-218 popisuje CVE-2026-108099 v Entity List, který vytváří seznamy entit bez Views. Opravená verze je 3.0.10. Ani zde samotný modul podle projektu nestačí k přímému zneužití, ale existují cesty přes další moduly, včetně jedné bez autentizace, a riziko může otevřít vlastní kód. Oprava jádra proto automaticky nevyřeší neaktualizovaný Entity List.