Drupal 安全团队披露了两个严重的远程代码执行（RCE）漏洞：核心 Field UI 模块的 CVE-2026-108097，以及贡献模块 Entity List 的 CVE-2026-108099。两者单靠 Drupal 核心都无法利用，需要贡献模块或自定义代码配合，但各至少有一条无需认证的利用路径。核心修复已于 10 月 14 日发布。
据 Drupal 安全公告，CVE-2026-108097 位于核心的 Field UI 模块，也就是站点管理员管理字段及其显示方式的后台页面所在的模块。多个贡献模块可提供利用路径，其中至少一条无需登录；自定义代码也可能暴露存在漏洞的功能。公告没有点名是哪些贡献模块。Drupal 按自己的风险评分给该漏洞打了 19/25，属于「critical」级别。
CVE-2026-108099 出在 Entity List 模块（用于不借助 Views 创建实体列表），条件与前者相同，同样存在至少一条无需认证的已知利用路径。
修复版本如下：
更新核心不会同时更新 Entity List，需要单独升级该模块。
据 The Hacker News 报道，Field UI 用渲染数组（Drupal 转换成 HTML 的 PHP 数组）生成后台表格。修复前，表格元素的预渲染步骤会通过 call_user_func_array 执行每一行 #region_callback 属性所携带的 PHP 可调用对象，且不检查其内容。这一调用至少自 Drupal 8.9.0（2020 年）起就在代码中。
Drupal 安全团队 10 月 12 日预告了此次发布，称「利用代码可能在数小时或数天内被开发出来」。公告发布时没有公开的利用代码，截至 10 月 15 日也未见利用。
据项目官网，全球有超过 100 万个网站运行 Drupal，常见于政府机构、高校和非营利组织。
据 The Hacker News 引用的 drupal.org 使用统计，在 10 月 4 日当周，上报核心版本的 531,499 个站点中，有 151,442 个（28.5%）使用的分支受影响，而且因已停止支持而没有修复。同一周，有 90 个站点上报使用 Entity List 模块。
无法立即升级的站点，可以卸载 Field UI 模块（field_ui）作为缓解。公告称这能在站点更新期间提供保护，但卸载期间管理字段和显示方式的后台页面将无法使用。
Drupal Steward 是一项由安全团队编写规则的 WAF（Web 应用防火墙）服务，已拦截部分已知攻击方式，但不能覆盖所有利用手法，使用该服务的站点仍应更新。
同批核心版本还修复了两个中危的跨站脚本（XSS）漏洞：Link 模块的 CVE-2026-108515 和 Navigation 模块的 CVE-2026-108514，两者都至少需要已登录用户才能触发。
