CVE-2026-108099
Drupal Entity List CVE-2026-108099: критическая RCE и пути эксплуатации
Entity List до 3.0.10 содержит критическую RCE. Сам модуль не образует прямого пути эксплуатации, однако contributed-модули и собственный код могут открыть уязвимую функциональность; advisory указывает как минимум один путь без аутентификации.
Кому нужно проверить
Администраторам Drupal, разработчикам сайтов с Entity List и интеграциями. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При наличии доступного exploit path атакующий может выполнить код на сервере. Простая установка Entity List не доказывает наличие пути эксплуатации, но отсутствие аутентификации у одного известного пути требует срочной оценки интеграций.
Затронутые версии
Entity List <3.0.10. Уязвимость не эксплуатируется напрямую одним только модулем; несколько серьёзных путей связаны с другими contributed-модулями, а custom code также может открыть уязвимую функциональность. Как минимум один известный путь не требует аутентификации.
Исправленные версии
Entity List 3.0.10 или более новая версия.
Что сделать
- 1Проверьте Composer lock-файл и список включённых модулей на Entity List.
- 2Проведите инвентаризацию contributed-модулей и собственного кода, которые могут открывать уязвимую функциональность Entity List; учитывайте известный путь без аутентификации.
- 3Сделайте резервную копию, обновите Entity List до 3.0.10 и разверните изменения после теста.
- 4Проверьте логи и целостность сайта, особенно если модуль был доступен через интеграции.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.