W systemie Drupal zidentyfikowano krytyczną lukę (CVE-2026-108097) w module Field UI, odpowiedzialnym za zarządzanie polami w panelu administracyjnym. Problem polega na braku weryfikacji funkcji wywoływanych podczas renderowania tabel, co pozwala atakującemu na zdalne wykonanie dowolnego kodu na serwerze. Choć sama luka znajduje się w jądrze systemu, do jej aktywacji niezbędne są dodatkowe moduły (contributed modules) lub niestandardowy kod, przy czym co najmniej jedna ścieżka ataku nie wymaga nawet logowania.
Deweloperzy wydali poprawki dla wersji Drupal 11.4.10, 11.3.19 oraz 10.6.19. Starsze wersje, takie jak 11.2.x i niższe oraz serie 8 i 9, nie otrzymają już wsparcia bezpieczeństwa, ponieważ osiągnęły koniec cyklu życia (EOL). Dla administratorów, którzy nie mogą natychmiast zaktualizować systemu, zalecane jest odinstalowanie modułu fieldui, co zablokuje dostęp do podatnych funkcji.
Mechanizm błędu opierał się na właściwości regioncallback w tablicach renderujących, która była przekazywana do funkcji calluserfuncarray bez odpowiedniej kontroli. Poprawka zmienia sposób odczytywania regionów, eliminując bezpośrednie wywoływanie niezweryfikowanych funkcji. Warto również zwrócić uwagę na osobną, krytyczną lukę RCE w module Entity List (CVE-2026-108099), która wymaga oddzielnej aktualizacji modułu.
