O Drupal, um sistema de gerenciamento de conteúdo usado para criar e administrar sites, recebeu correções para duas vulnerabilidades críticas. Elas podem permitir que criminosos executem código à distância em sites que usam qualquer versão suportada da plataforma. Em termos simples, é como se alguém ganhasse a chave mestra de um prédio sem precisar estar lá dentro.

As falhas afetam o módulo Field UI, que faz parte do núcleo do Drupal, e o módulo contribuído Entity List. A primeira recebeu o identificador CVE-2026-108097 e a segunda, CVE-2026-108099. A equipe de segurança do projeto informou que todas as versões atuais do núcleo do Drupal são afetadas. O núcleo sozinho não permite o ataque, mas módulos de terceiros e códigos personalizados podem abrir caminhos para explorar a falha, e pelo menos um deles não exige autenticação.

O alerta preocupa porque a equipe de segurança afirmou que exploits podem ser desenvolvidos em horas ou dias. Por isso, ela pediu que administradores reservem tempo para atualizar o sistema logo. O Drupal é muito usado por órgãos públicos, universidades e organizações sem fins lucrativos, e, segundo o próprio projeto, mais de um milhão de sites rodam a plataforma.

A recomendação é atualizar o núcleo para a versão 10.6.19, 11.3.19 ou 11.4.10, conforme a linha de lançamento de cada site, e atualizar o módulo Entity List para a versão 3.0.10. A equipe pediu que a atualização seja feita antes de 14 de outubro. Versões anteriores à 10.6.x e ao Drupal 11 anteriores à 11.3.x já não recebem suporte. As versões de teste do Drupal 12 anteriores à beta2 também são afetadas, mas não devem ser usadas em produção, e a versão final 12.0 trará as correções.

Para quem não consegue atualizar agora, a orientação oficial é desinstalar o módulo Field UI (field_ui), que funciona como uma medida de mitigação. O Drupal Steward, ferramenta de proteção citada na fonte, cobre alguns vetores de ataque conhecidos, mas não todos. Como orientação geral, siga as instruções oficiais do Drupal e mantenha o sistema sempre atualizado.