Lỗ hổng RCE nghiêm trọng trong Drupal: Phân tích CVE-2026-108097

• Mã định danh: CVE-2026-108097.
• Mức độ ảnh hưởng: RCE (Remote Code Execution) cho phép chiếm quyền điều khiển từ xa.
• Thành phần bị ảnh hưởng: Module Field UI trong Drupal core.
• Khuyến nghị: Cập nhật ngay lập tức lên các phiên bản đã vá lỗi hoặc gỡ bỏ module Field UI.

Nhóm bảo mật Drupal (Drupal Security Team) vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng liên quan đến thực thi mã từ xa (RCE), được định danh là CVE-2026-108097. Lỗ hổng này nằm trong module Field UI của Drupal core, cho phép kẻ tấn công thực hiện các hành vi xâm nhập trái phép mà không cần thông qua bước xác thực tài khoản.

Chi tiết về lỗ hổng CVE-2026-108097

Theo thông tin từ thông báo bảo mật SA-CORE-2026-014, lỗ hổng này được đánh giá với điểm số rủi ro là 19/25 theo hệ thống đánh giá nội bộ của Drupal. Mặc dù đây không phải là điểm CVSS tiêu chuẩn, nhưng mức độ nghiêm trọng của nó là rất cao, có khả năng dẫn đến việc rò rỉ toàn bộ dữ liệu cá nhân, thay đổi hoặc xóa bỏ thông tin trên hệ thống mục tiêu.

Điểm đáng chú ý là bản thân Drupal core ở trạng thái mặc định không trực tiếp cung cấp đường dẫn khai thác lỗ hổng này. Tuy nhiên, các nhà nghiên cứu bảo mật đã xác nhận rằng sự kết hợp với các module đóng góp (contributed modules) hoặc mã nguồn tùy chỉnh (custom code) có thể tạo ra các vector tấn công nguy hiểm. Điều này có nghĩa là các quản trị viên không nên chỉ dựa vào phiên bản Drupal đang sử dụng mà cần rà soát toàn bộ các thành phần mở rộng đã cài đặt.

Phạm vi ảnh hưởng và các phiên bản cần cập nhật

Lỗ hổng này ảnh hưởng đến một dải rộng các phiên bản Drupal hiện hành. Việc triển khai bản vá là yêu cầu bắt buộc đối với các tổ chức đang duy trì nhiều hệ thống Drupal cùng lúc.

⚠️ Cảnh báo quan trọng: Các phiên bản Drupal 11.2.x trở về trước, Drupal 10.5.x trở về trước, cùng với Drupal 8 và 9 đã kết thúc vòng đời hỗ trợ bảo mật. Nếu hệ thống của bạn đang chạy các phiên bản này, việc nâng cấp lên phiên bản được hỗ trợ là ưu tiên hàng đầu để tránh các rủi ro bảo mật tiềm ẩn.

Hướng dẫn giảm thiểu và khắc phục

Trong trường hợp chưa thể thực hiện cập nhật ngay lập tức, quản trị viên có thể áp dụng các biện pháp giảm thiểu tạm thời để bảo vệ hệ thống khỏi các cuộc tấn công khai thác CVE-2026-108097.

• Gỡ bỏ module Field UI: Việc gỡ bỏ module field_ui khỏi core sẽ loại bỏ vector tấn công chính. Đây là biện pháp tạm thời hiệu quả trong khi chờ đợi quy trình kiểm thử bản vá.
• Sử dụng Drupal Steward: Dịch vụ này có khả năng chặn một số đường dẫn tấn công đã biết, tuy nhiên, đây không phải là giải pháp thay thế cho việc cập nhật phần mềm.
• Rà soát mã nguồn tùy chỉnh: Kiểm tra các đoạn mã tùy chỉnh có tương tác với Field UI để đảm bảo không có lỗ hổng logic nào bị khai thác.

Để kiểm tra xem hệ thống có bị xâm nhập hay không, các đội ngũ SOC cần tập trung vào việc phát hiện các webshell hoặc các script bất thường được tải lên máy chủ. Việc giám sát các tệp tin mới được tạo trong thư mục web và các yêu cầu HTTP bất thường tới các endpoint của Field UI là rất quan trọng. Bạn có thể tham khảo thêm tài liệu về hướng dẫn phát hiện webshell từ CISA để có thêm thông tin chi tiết về kỹ thuật săn tìm mối đe dọa.