Drupal Field UI远程代码执行漏洞(CVE-2026-108097)安全风险通告

01

漏洞详情

>>>>

影响组件

Drupal 是一款开源的内容管理系统（CMS）和 Web 应用框架，使用 PHP 开发，由全球 Drupal 社区维护，采用 GPL 许可。Drupal 提供内容建模、字段管理、多语言、多站点、权限与工作流、主题/模块扩展等能力，广泛应用于企业门户、政府网站、高校、媒体和社区平台，也可用于构建无头（headless）/解耦架构的 Web 应用。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复Drupal Field UI 远程代码执行漏洞(CVE-2026-108097)，该漏洞位于 FieldUiTable::tablePreRender：Field UI 表格渲染时会把 row 的 #region_callback 当作 PHP callable 直接调用，并把整行数组按引用传入。如果目标站点存在一个贡献模块或自定义代码路径，允许 HTTP 请求数据影响 Field UI row 的 #region_callback，攻击者就可以让 Drupal 执行任意 PHP callable。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

目标启用 Field UI，且存在把请求数据写入 #region_callback 的模块/自定义代码。

02

影响范围

>>>>

影响版本

8.9.0 <= Drupal <= 10.6.18

11.0.0 <= Drupal <= 11.3.18

11.4.0 <= Drupal <= 11.4.9

12.0.0-alpha1 <= Drupal < 12.0.0 beta2

>>>>

其他受影响组件

启用 Field UI 的 Drupal 站点。

任何将请求数据写入 field_ui_table row（尤其是 #region_callback）的贡献模块或自定义模块。

03

复现情况

目前，奇安信CERT已成功复现Drupal Field UI 远程代码执行漏洞(CVE-2026-108097)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，Drupal Field UI 远程代码执行漏洞(CVE-2026-108097)关联的国内风险资产总数为40231个，关联IP总数为12401个。国内风险资产分布情况如下：

Drupal Field UI 远程代码执行漏洞(CVE-2026-108097)关联的全球风险资产总数为1199716个，关联IP总数为343676个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

Drupal >= 10.6.19

Drupal >= 11.3.19

Drupal >= 11.4.10

Drupal 12 开发分支更新至 12.0.0-beta2 或更高版本。

下载地址：

https://new.drupal.org/download

临时缓解措施：

1. 如果站点不需要 Field UI，卸载该模块：

注意：部分管理功能依赖 Field UI，操作前请备份并在测试环境验证；

2. 限制 /admin/structure、Field UI 相关路由的访问来源，仅允许可信管理网络。

3. 在 WAF/反向代理层阻断带有异常 #region_callback、PHP callable 名称或可疑回调参数的请求。

>>>>

产品解决方案

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.1020.15154或以上版本。规则ID及规则名称：0x10022A7F，Drupal Core 远程代码执行漏洞(CVE-2026-108097)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信开源卫士已支持

奇安信开源卫士20261020.1526 版本已支持对Drupal Field UI 远程代码执行漏洞 (CVE-2026-108097)的检测。

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Drupal Field UI 远程代码执行漏洞 (CVE-2026-108097)的防护。

06

参考资料

[1]https://www.drupal.org/sa-core-2026-014

[2]https://fortbridge.co.uk/research/cve-2026-108097-deep-dive-turning-a-drupal-field-ui-callback-into-rce/

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。