Drupal: критические уязвимости, которые могут быть уже в деле

В подборке за неделю встретил — разработчики Drupal объявили о выходе исправлений для двух критических уязвимостей, позволяющих удалённо выполнить код на сервере. Одна из них, даже без авторизации, может быть использована через сторонние модули. Обе затрагивают системы управления контентом, и эксплоиты могут появиться в ближайшие дни. Надо срочно проверить, не в вашем ли случае.

Прочитал у Drupal: вышла версия 11.4.10, 11.3.19 и 10.6.19 с исправлением двух критических уязвимостей. Первая — в модуле Field UI, входит в ядро, — позволяет обойти проверку колбэков при формировании административных таблиц. Вторая — в стороннем модуле Entity List, требует обновления до 3.0.10. Обе могут быть эксплуатированы без аутентификации при наличии подходящих условий. Система безопасности Drupal уже блокирует часть векторов, но это не полная защита.

Считаю, что это серьёзно. Даже если у вас нет админки в открытом доступе — боты сканируют всё, что доступно по URL. И если где-то в кастомном коде или в модуле есть уязвимость — она может быть найдена. Риск не в том, что «взломают», а в том, что заразят, и не заметят, пока сайт не перестанет работать. Надо не ждать, когда появится эксплоит — а уже сейчас проверить, что у вас обновлено.