Drupal'da Kritik Field UI Açığı: CMS Siteniz İçin Yama Rehberi ve Neden "Teorik" Demek Yeterli Değil
Drupal ekibi 14 Ekim'de çekirdekteki Field UI modülünde kritik bir uzaktan kod çalıştırma açığını (CVE-2026-108097) ve Entity List modülünde benzer bir açığı yamaladı. Açık tek başına çekirdekten sömürülemiyor ama katkı modülleri yoluyla kapı açabiliyor. Kimler etkilenir ve ne yapmalı?
Kısaca: Drupal Güvenlik Ekibi 14 Ekim 2026'da çekirdekte Field UI modülünü etkileyen kritik bir uzaktan kod çalıştırma (RCE) açığını, CVE-2026-108097 (SA-CORE-2026-014), ve katkı modülü Entity List'teki benzer CVE-2026-108099 (SA-CONTRIB-2026-218) açığını yamaladı. BleepingComputer'a göre Drupal çekirdeği tek başına bu açığı sömürmeye izin vermiyor; ancak katkı modülleri ve özel kod, bunu mümkün kılan yollar açıyor ve en az bir yol kimlik doğrulaması gerektirmiyor. Drupal, “desteklenen tüm çekirdek sürümlerinin etkilendiğini” belirtiyor. Düzeltilmiş sürümler: Drupal 10.6.19, 11.3.19 ve 11.4.10; Entity List 3.0.10. Hemen yükseltemiyorsanız Field UI modülünü kaldırmak bir geçici çözüm. Drupal, sömürünün “saatler veya günler içinde” geliştirilebileceği uyarısı yapmıştı; haberde vahşi doğada sömürü bildirilmedi. Bu yazı BleepingComputer'ın 17 Ekim haberine dayanır; durum değişmiş olabilir.
Son güncelleme: 26 Ekim 2026
Ne oldu?
| Açık | Modül | Kimlik | Not |
|---|---|---|---|
| CVE-2026-108097 (SA-CORE-2026-014) | Drupal çekirdeği, Field UI | Kritik, RCE | Çekirdek tek başına sömürmeye izin vermiyor; katkı modülleri ve özel kod sömürü yolları açıyor, en az biri kimlik doğrulamasız |
| CVE-2026-108099 (SA-CONTRIB-2026-218) | Katkı modülü Entity List | Kritik, RCE | Sömürü için katkı modülleri veya özel kodla etkileşim gerekiyor; en az bir bilinen yol kimlik doğrulamasız |
Drupal'ın ifadesi: “Desteklenen tüm Drupal çekirdek sürümleri etkileniyor.” Açık ayrıca üretim için tasarlanmamış Drupal 12 ön sürümlerini (beta2'den önceki) etkiliyor; kararlı 12.0 düzeltmeleri içeriyor.
Düzeltilmiş sürümler
- Drupal çekirdeği: 10.6.19, 11.3.19 veya 11.4.10 (kullandığınız hatta göre)
- Entity List: 3.0.10
- Desteği biten sürümler: 10.6.x'ten önceki tüm sürümler ve 11.3.x'ten önceki tüm Drupal 11 sürümleri desteği bitmiş durumda ve güvenlik yaması almıyor. Bu sürümlerdeyseniz yalnızca yama değil, yükseltme planlamanız gerekir.
Geçici çözüm
Hemen yükseltemiyorsanız Drupal'ın önerisi Field UI çekirdek modülünü kaldırmak (field_ui). Bu modül çoğunlukla geliştirme/yönetim aşamasında alanları tanımlamak için kullanılır; üretimde çoğu sitede kapalı tutulabilir. Drupal Steward bilinen bazı saldırı vektörlerini engelliyor ama hepsini değil. Geçici çözüm de çözüm değil; yama yine gerekli.
Sömürü durumu
- Drupal güvenlik ekibi, sömürünün saatler veya günler içinde geliştirilebileceği uyarısı yapmıştı.
- BleepingComputer haberinde (17 Ekim) vahşi doğada sömürü bildirilmedi.
- Cloud Security Alliance'ın 19 Ekim tarihli notuna göre (ikincil kaynak) 15 Ekim itibarıyla kamuya açık istismar kodu gözlenmemişti. Bu bilgiler değişmiş olabilir; PHP2Shell'de olduğu gibi birkaç gün içinde durum değişebilir.
“Teorik” etiketi neden yanıltıcı olabilir?
Bazı kaynaklar sömürü durumunu “teorik” olarak etiketliyor. Ancak:
- Açığın istismar yolu sitenizdeki katkı modüllerine ve özel koda bağlı. Genel bir “risk yok” değerlendirmesi sizin sitenizi temsil etmez.
- En az bir yol kimlik doğrulaması gerektirmiyor.
- Yama yayımlandıktan sonra saldırganlar düzeltmeyi inceleyerek açığı tersine çevirebilir; yapay zekâ bu süreci hızlandırıyor (yama süreleri yazımız).
Drupal siteniz varsa: 7 adım
- Sürümü öğrenin: Yönetim panelinde Raporlar > Durum, veya
drush status. - Yükseltin: 10.6.19, 11.3.19 veya 11.4.10'a ve Entity List kullanıyorsanız 3.0.10'a.
- Desteği biten hattaysanız yükseltmeyi planlayın; yama gelmez.
- Yükseltemiyorsanız Field UI'ı kaldırın ve yükseltme tarihini yazılı belirleyin.
- Katkı modüllerinizi ve özel kodu envanterleyin; hangilerinin Field UI veya Entity List ile etkileştiğini yazılım ekibiniz değerlendirsin.
- Günlükleri inceleyin: Olağandışı istekler, beklenmeyen dosyalar, yeni yönetici hesapları.
- Sırları yenilemeyi düşünün (şüphe varsa): veritabanı, API anahtarları, yönetici parolaları.
Aynı sunucuda PHP çalıştırıyorsanız PHP2Shell yamasını da unutmayın: Drupal PHP üzerinde çalışır ve PHP2Shell Drupal imajlarına karşı da gösterildi.
Hangi CMS, hangi risk?
Bu hafta farklı CMS ve çalışma zamanlarında acil yamalar çıktı. Hangi teknolojiyle ne kadar bakım yükü doğduğunu teknoloji seçimi rehberimizde ve WordPress ile modern çerçeveleri karşılaştırmamızda ele aldık. Bir CMS seçimi, aynı zamanda sürekli yama sorumluluğu seçimidir.
Aktaş Digital ile bakım
CMS ve özel yazılım projelerinde sürüm takibi ve yama düzeni kuruyoruz. Sitenizin güncel durumunu değerlendirtmek için teklif formumuzu kullanabilirsiniz. İlgili hizmetlerimiz: web çözümleri.
Sık Sorulan Sorular
Field UI'ı kaldırırsam siteme ne olur?
Field UI genellikle alan tanımlarını yönetmek için kullanılır; üretim sitesinde çoğu zaman kapatılabilir. Kaldırmadan önce kendi sitenizde bağımlılığı test edin.
Sitem Drupal 9'da; ne yapmalıyım?
Drupal 9 ve eski sürümler desteğini yitirdi ve yama almıyor. Desteklenen bir sürüme geçiş planı gerekir.
Bu açık WordPress'i etkiler mi?
Hayır; bu Drupal'a özgü bir açık. WordPress için PHP2Shell gibi PHP kaynaklı konular ayrıca geçerlidir.
Sömürü başladı mı?
Haberde vahşi doğada sömürü bildirilmedi; ancak Drupal, kısa sürede sömürü geliştirilebileceği uyarısı yaptı. Yamayı bekletmeyin.
Sonuç
Drupal'ın Field UI açığı, “çekirdek tek başına sömürülemiyor” dense de, sitenizdeki modüllere bağlı gerçek bir risk. Yamalı sürüme geçin, desteği biten hatlardan çıkın ve geçici olarak Field UI'ı kapatın. İlk adım: Drupal sürümünüzü ve desteklenip desteklenmediğini yazılı olarak teyit etmek.
