Drupal Tambal Kerentanan Kritis RCE pada Core dan Modul Kontribusi

Tim Keamanan Drupal secara resmi merilis patch keamanan mendesak untuk menambal dua kerentanan berstatus kritis yang memungkinkan pelaku ancaman melakukan eksekusi kode jarak jauh (Remote Code Execution / RCE) pada situs web yang menjalankan versi yang didukung dari sistem manajemen konten (CMS) tersebut.

Celah keamanan ini berdampak langsung pada modul inti (core) Field UI serta modul kontribusi pihak ketiga Entity List. Mengingat potensi bahaya yang besar, Drupal telah mengeluarkan peringatan dini sejak awal pekan agar para administrator situs segera menerapkan pembaruan sistem sebelum eksploitasi di alam liar muncul.

“Tim Keamanan Drupal mendesak Anda untuk meluangkan waktu melakukan pembaruan inti karena eksploitasi dapat dikembangkan dalam hitungan jam atau hari,” demikian peringatan yang dirilis oleh tim keamanan proyek open-source tersebut. Mereka menyarankan agar administrator memperbarui situs ke versi bugfix terbaru sebelum batas waktu pertengahan Oktober guna mengantisipasi gangguan teknis sebelum jendela keamanan ditutup.

Drupal sendiri merupakan perangkat lunak CMS gratis dan open-source yang banyak diandalkan untuk membangun serta mengelola situs web, dan sangat populer di kalangan instansi pemerintah, universitas, hingga organisasi nirlaba. Berdasarkan data resmi proyek, lebih dari satu juta situs web di seluruh dunia berjalan di atas platform Drupal.

Rincian Kerentanan CVE-2026-108097 dan CVE-2026-108099

Dalam buletin keamanannya, Drupal mempublikasikan rincian dua kerentanan kritis yang memengaruhi seluruh versi inti Drupal yang saat ini masih didukung:

• CVE-2026-108097: Celah kerentanan RCE pada modul inti Field UI yang memungkinkan penyerang mengeksekusi kode sembarang (arbitrary code) pada server yang rentan.
• CVE-2026-108099: Celah keamanan pada modul kontribusi Entity List (modul untuk membuat daftar entitas tanpa Views) yang juga berpotensi memicu eksekusi kode jarak jauh.

Berdasarkan penasihat keamanan, kerentanan CVE-2026-108097 tidak dapat dieksploitasi hanya dengan menggunakan core Drupal saja; namun, keberadaan modul kontribusi tertentu dapat membuka jalur eksploitasi, termasuk setidaknya satu jalur yang tidak memerlukan autentikasi (unauthenticated). Selain itu, kode kustom (custom code) yang dibuat pengembang situs juga berpotensi mengekspos fungsionalitas rentan tersebut. Eksploitasi terhadap CVE-2026-108099 juga memerlukan interaksi serupa dengan modul kontribusi atau kode kustom dengan celah jalur tanpa autentikasi.

Langkah Mitigasi dan Pembaruan Sistem

Guna mengamankan infrastruktur dari potensi serangan siber, para administrator situs web diimbau untuk segera mengambil langkah-langkah pembaruan berikut:

• Memperbarui core Drupal ke versi 10.6.19, 11.3.19, atau 11.4.10 (bergantung pada cabang rilis yang digunakan).
• Memperbarui modul Entity List ke versi 3.0.10.

Pihak pengembang menegaskan bahwa seluruh versi Drupal di bawah 10.6.x serta versi Drupal 11 di bawah 11.3.x telah mencapai akhir masa pakai (end-of-life) dan tidak lagi menerima dukungan pembaruan. Sementara itu, celah ini juga berdampak pada versi pra-rilis Drupal 12 sebelum beta2, meski versi tersebut memang tidak direkomendasikan untuk lingkungan produksi (production). Versi stabil final Drupal 12.0 dipastikan sudah menyertakan perbaikan untuk kedua celah tersebut.

Bagi administrator yang belum dapat langsung melakukan peningkatan sistem (upgrade), langkah mitigasi sementara yang disarankan adalah menghapus instalasi (uninstall) modul inti Field UI (field_ui) dari situs web. Selain itu, layanan pelindung Drupal Steward dapat membantu menangkis beberapa vektor serangan yang dikenal, meskipun tidak mencakup seluruh kemungkinan bentuk eksploitasi baru.

Sumber: Drupal Security Advisory