Drupal предупредила о риске быстрой эксплуатации критической RCE в ядре

Drupal выпустила патчи для пяти уязвимостей, включая две критичные RCE: CVE-2026-108099 в модуле Entity List и CVE-2026-108097 в Field UI ядра. Исправления доступны в Entity List 3.0.10 и Drupal 11.4.10, 11.3.19, 10.6.19; также закрыты XSS в модулях Link и Navigation и в теме Gin.

• CVE-2026-108099 в Entity List: есть путь эксплуатации без аутентификации
• CVE-2026-108097 в Field UI: можно временно удалить модуль как меру защиты
• Исправления в Drupal 11.4.10, 11.3.19 и 10.6.19, Entity List 3.0.10
• Drupal предупредила: эксплойты могут появиться за часы или дни