Drupal 11.4.10 corrige falha RCE crítica no Field UI

A equipe de segurança do Drupal lançou em 14 de outubro de 2026 correções para uma falha crítica que pode permitir que um invasor execute código em um site Drupal. O bug está no Field UI, um módulo que vem com o próprio Drupal. Ele é registrado como SA-CORE-2026-014 e CVE-2026-108097. O núcleo sozinho não é diretamente explorável, mas módulos adicionais abrem vários caminhos de entrada, e pelo menos um deles não exige login.

O alerta de segurança do núcleo do Drupal dá à falha nota 19 de 25 na escala de risco do próprio Drupal, o que a coloca na faixa Critical. As versões corrigidas são Drupal 11.4.10, 11.3.19 e 10.6.19.

O que é a falha do Field UI

O Drupal é um sistema de gerenciamento de conteúdo de código aberto escrito em PHP. O Field UI é a parte do Drupal que oferece a quem constrói sites telas para adicionar campos, como uma data ou uma imagem, a um tipo de conteúdo.

O alerta chama o bug de execução remota de código, ou RCE. Isso significa que um invasor poderia fazer o servidor executar comandos de sua escolha. É um dos tipos mais graves de falha na web, porque pode entregar o site inteiro.

O problema está em como o bug é alcançado. "A vulnerabilidade não é diretamente explorável apenas com o núcleo, mas existem vários caminhos de exploração graves com módulos contribuídos", diz o alerta. Módulos contribuídos são os complementos gratuitos que a maioria dos sites Drupal instala a partir do drupal.org. O alerta acrescenta que pelo menos um caminho conhecido não exige autenticação, e que o código personalizado de um site também pode expor a falha.

Como o Drupal pontua o risco

O Drupal avalia cada falha com um código curto. O alerta do núcleo traz AC:Basic/A:None/CI:All/II:All/E:Theoretical/TD:Default. Veja o que cada parte significa.

Parte	Valor	Significado simples
AC	Basic	O ataque exige alguns passos, mas nada incomum
A	None	Não é preciso fazer login no caminho avaliado
CI	All	Todos os dados não públicos poderiam ser lidos
II	All	Todos os dados poderiam ser alterados ou apagados
E	Theoretical	Não se conhece código de exploração público
TD	Default	Configurações padrão ou comuns estão expostas

"Theoretical" é a única parte animadora. Significa que ninguém tinha publicado código de ataque funcional quando o alerta saiu. Nenhuma das duas fontes relata ataques reais.

Quais versões do Drupal precisam da atualização

Branch	Afetadas	Corrigido em
Drupal 11.4.x	Todas as versões abaixo de 11.4.10	11.4.10
Drupal 11.3.x	Todas as versões abaixo de 11.3.19	11.3.19
Drupal 10.6.x	Todas as versões abaixo de 10.6.19	10.6.19
Versões de teste do Drupal 12	De 12.0.0-alpha1 a 12.0.0-beta1	O intervalo termina antes de 12.0.0-beta2
11.2.x e anteriores, 10.5.x e anteriores, 9, 8.9	Afetadas, fim de vida	Sem correção

A última linha é a que mais importa para sites antigos. A nota de versão da Pantheon lista esses branches como em fim de vida, então eles não vão receber patch. A Pantheon é uma grande empresa de hospedagem de Drupal. O conselho dela é migrar esses sites para uma versão com suporte.

O alerta credita a Drew Webber e Octavio Galland o relato do bug. Os membros da equipe de segurança do Drupal catch, Lee Rowlands, Dave Long, Drew Webber e Jess escreveram a correção.

Um módulo adicional recebeu a mesma nota

No mesmo dia, o Drupal publicou o SA-CONTRIB-2026-218 para o Entity List. É um módulo contribuído que cria listas de entidades sem a ferramenta Views. Entidades é o nome que o Drupal dá a itens de conteúdo e outros registros. Também é uma falha crítica de execução de código, com nota 19 de 25.

As versões anteriores à 3.0.10 são afetadas, e a 3.0.10 corrige o problema. Esse alerta diz com clareza: "Pelo menos um caminho de exploração conhecido não exige autenticação." Ele não oferece nenhuma solução alternativa, então atualizar é a única correção.

O que isso significa para desenvolvedores

Atualize o núcleo primeiro. Leve cada site para 11.4.10, 11.3.19 ou 10.6.19, conforme o branch dele. Em um site gerenciado com Composer, isso significa atualizar o pacote do núcleo e fazer o deploy, depois verificar se o relatório de status do site mostra a nova versão. Clientes da Pantheon podem usar a atualização do núcleo com um clique no painel. "Atualize seus sites Drupal para uma versão corrigida o mais rápido possível", diz a nota da Pantheon.

Se você não puder atualizar hoje, desinstale o módulo Field UI do núcleo. Segundo o alerta, isso "vai oferecer proteção enquanto os sites são atualizados". O Field UI só é necessário enquanto alguém altera a estrutura de um site, então muitos sites em produção podem funcionar sem ele por um tempo. Verifique antes se nenhum outro módulo instalado depende dele. Ative-o de novo depois da atualização.

Em seguida, verifique seus complementos. Todo site que usa o Entity List precisa da versão 3.0.10. Como a falha do núcleo é alcançada por meio de código contribuído e personalizado, revise qualquer módulo personalizado que chame recursos do Field UI a partir de uma página pública.

Não confie apenas em um firewall. Segundo o alerta, o Drupal Steward, serviço de firewall da equipe de segurança, bloqueia alguns caminhos de ataque conhecidos, mas não todos. Mesmo assim, o alerta pede que os sites protegidos por esse serviço façam o upgrade.

Trate sites em fim de vida como expostos. Sites com Drupal 9 e com versões antigas de 10.x ou 11.x não vão receber patch. Desinstalar o Field UI é a solução provisória mais rápida enquanto você planeja a mudança para um branch com suporte.

Fique de olho nos seus logs nesta semana. A correção é pública, e os invasores estudam patches para encontrar o ponto fraco. Em setembro, o WordPress lançou uma versão de segurança para um bug parecido de execução de código, e o conselho de lá também vale aqui: aplique o patch em todos os ambientes, inclusive o de staging.