Drupal heeft in één keer meerdere beveiligingslekken gedicht in zowel de core als populaire uitbreidingen. Het gaat om een kritieke remote code execution (RCE) in de Field UI-module van Drupal core en in de contributed Entity List-module. Daarnaast zijn er XSS-lekken opgelost in de Navigation- en Link-modules van core en in het Gin-admin­thema. De updates verschenen op 14 oktober 2026. (drupal.org)

Wat is er precies aan de hand

• Field UI (core) – RCE: de kwetsbaarheid schuilt in functionaliteit die door andere modules of maatwerk bereikbaar kan worden gemaakt. Minstens één bekend aanvalspad vereist geen login. Drupal adviseert als tijdelijke maatregel de Field UI-module te verwijderen totdat je kunt updaten. (drupal.org)
• Entity List (contrib) – RCE: vergelijkbaar risico; het lek is in de module zelf aanwezig maar wordt in de praktijk misbruikt via andere modules of custom code. Ook hier is er ten minste één pad zonder authenticatie. (drupal.org)
• Navigation (core) – XSS: onvoldoende sanitisatie van bepaalde attributen. Misbruik is alleen mogelijk door gebruikers met extra rechten, zoals HTML met specifieke data-attributen mogen invoeren of ‘administer menu’. (drupal.org)
• Link (core) – XSS: onvolledige sanitisatie kan in specifieke omstandigheden tot scriptinjectie leiden. (drupal.org)
• Gin-admin­thema (contrib) – XSS: door onvoldoende filtering van attributen. Ook hier is misbruik beperkt tot gebruikers met specifieke permissies. (drupal.org)

Wie is geraakt

• Alleen installaties die deze modules of het Gin-thema gebruiken.
• RCE-risico’s worden vooral reëel zodra contributed modules of maatwerk de kwetsbare codepaden aanroepen; XSS-risico’s vragen om gebruikers met uitbreide(re) rechten. (drupal.org)

Aanbevolen acties (zo kort mogelijk)

• Update Drupal core direct:
  • 11.4.x → 11.4.10
  • 11.3.x → 11.3.19
  • 10.6.x → 10.6.19
  • Voor Drupal 12 testers: 12.0.0-beta2 bevat de fixes. (drupal.org)
• Kun je niet meteen patchen? Verwijder tijdelijk de coremodule Field UI (field_ui) als noodmaatregel. (drupal.org)
• Update contributed projecten:
  • Entity List → 3.0.10. (drupal.org)
  • Gin-thema → 4.1.4 (v4) of 5.0.16 (v5). (drupal.org)

Waarom dit ertoe doet

• RCE betekent dat aanvallers in het ergste geval willekeurige code op je server kunnen uitvoeren. Dat is bedrijfscontinuïteit en dataveiligheid in één klap in gevaar.
• XSS misbruikt de browser van je gebruikers of beheerders. Met de juiste rechten kan dat leiden tot sessieovername of het uitvoeren van beheertaken namens hen. De nu gepatchte XSS-lekken vereisen wel specifieke permissies, wat de drempel verhoogt maar het risico niet wegneemt. (drupal.org)

Praktische tips om risico te verlagen

• Beperk modules en thema’s tot wat je echt nodig hebt; verwijder onbekende of onbetrouwbare extensies. Houd alles bij via Composer zodat je snel kunt patchen. (Algemene best practice)
• Controleer beheerdersrechten en wie HTML met data-attributen mag invoeren; versmal deze permissies waar mogelijk. (drupal.org)
• Plan een korte security-review van maatwerkcode die render-callbacks of complexe Field UI-/Entity-lijstsamenstellingen gebruikt. De nu gepatchte RCE’s worden vooral gevaarlijk in combinatie met contrib of custom code. (drupal.org)

Samengevat: werk Drupal core bij naar de nieuwste beveiligingsrelease (11.4.10, 11.3.19 of 10.6.19), update Entity List en Gin naar de genoemde versies, en verwijder Field UI tijdelijk als je nog niet direct kunt updaten. Zo sluit je de belangrijkste aanvalspaden en verlaag je de impact tot nul. (drupal.org)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.