أعلنت Drupal عن سد ثغرتين حرجتين يمكن أن تسمحا للمهاجمين بتنفيذ تعليمات برمجية عن بُعد (RCE) على المواقع التي تستخدم أي إصدار مدعوم من نظام إدارة المحتوى. وقد أصدر فريق الأمن في Drupal تحذيرًا مسبقًا، مطالبًا المسؤولين بتطبيق التحديثات فورًا، محذرين من أن الاستغلال قد يظهر في غضون ساعات أو أيام قليلة بعد الكشف عن الثغرات.
تفاصيل الثغرات الأمنية
تؤثر الثغرات الأمنية على وحدة Field UI الأساسية في Drupal core ووحدة Entity List المساهم بها. إحدى الثغرات، المصنفة تحت CVE-2026-108097، هي ثغرة تنفيذ تعليمات برمجية عن بُعد في وحدة Field UI. أما الثغرة الأخرى، CVE-2026-108099، فهي خلل في Entity List، وهي وحدة لإنشاء قوائم الكيانات دون الحاجة إلى Views، ويمكن أن تمكّن من تنفيذ تعليمات برمجية عن بُعد.
أوضح فريق الأمن أن استغلال هذه الثغرات لا يمكن أن يتم باستخدام Drupal core وحده، ولكن الوحدات المساهم بها أو التعليمات البرمجية المخصصة يمكن أن توفر مسارات متعددة للاستغلال. وقد تم التأكيد على وجود مسار استغلال واحد على الأقل لكل من الثغرتين لا يتطلب أي مصادقة.
ماذا يعني هذا للمطورين؟
تعد Drupal نظام إدارة محتوى مفتوح المصدر شائعًا للغاية، يستخدمه أكثر من مليون موقع إلكتروني حول العالم، بما في ذلك العديد من الهيئات الحكومية والجامعات والمنظمات غير الربحية. ومع خطورة هذه الثغرات، من الضروري للغاية للمطورين والمسؤولين عن المواقع تحديث أنظمتهم فورًا للحماية من الهجمات المحتملة.
يوصى بتحديث Drupal core إلى الإصدار 10.6.19 أو 11.3.19 أو 11.4.10، اعتمادًا على فرع الإصدار الخاص بموقعك. كما يجب تحديث وحدة Entity List إلى الإصدار 3.0.10. أما إصدارات Drupal الأقدم من 10.6.x، وجميع إصدارات Drupal 11 الأقدم من 11.3.x، فقد وصلت إلى نهاية عمرها الافتراضي ولم تعد مدعومة.
في حال عدم القدرة على التحديث إلى إصدار آمن فورًا، ينصح المسؤولون بإلغاء تثبيت وحدة Field UI الأساسية (field_ui) كإجراء تخفيف فعال. نرى أن هذه الثغرات تذكير بأهمية المتابعة الدورية للنشرات الأمنية وتطبيق التحديثات على الفور، خصوصًا في الأنظمة مفتوحة المصدر التي تعتمد على مجتمعها في اكتشاف الثغرات وسدها. تجاهل مثل هذه التحذيرات قد يعرض المواقع لخطر كبير، خاصة مع التحذير من سرعة ظهور أدوات الاستغلال.
المصدر: bleepingcomputer.com