【复现】Drupal Core Field UI远程代码执行漏洞（CVE-2026-108097）

启明星辰
启明星辰

ADLab

2026年10月21日 17:57
北京

去阅读

更多安全资讯和分析文章请关注启明星辰ADLab微信公众号及官方网站（adlab.venustech.com.cn）

Drupal是全球使用广泛的开源内容管理系统（CMS），由Drupal社区维护，广泛用于企业门户、媒体与电商平台，全球互联网上存在上百万个Drupal站点。Drupal通过模块扩展功能，核心Field UI模块为内容类型与实体显示模式提供字段管理界面；站点默认安装依赖PEAR组件。

近日，Drupal官方发布安全更新，推出Drupal Core 10.6.19、11.3.19、11.4.10及12.0.0-beta2安全版本，修复了Drupal Field UI远程代码执行漏洞（CVE-2026-108097）。该漏洞CVSS 3.1评分高达9.8分（Critical）。

根据FOFA查询数据，截至2026年10月21日，互联网上存在1,700,169 个潜在的易受攻击Drupal实例。由于概念验证漏洞利用程序已经发布，并且该漏洞已在互联网上广泛传播，因此对于使用Drupal的组织或个人而言，该漏洞构成了直接且严重的风险。

• 影响范围

• 8.9.0 <= Drupal < 10.6.19

• 11.0.0 <= Drupal < 11.3.19
• 11.4.0 <= Drupal < 11.4.10

• 12.0.0-alpha1 <= Drupal < 12.0.0-beta2

• 漏洞描述

在Drupal Core的Field UI模块中，表格渲染时会从行数据中取出回调函数名并直接执行，且未对回调进行任何校验。Drupal核心自身把该值固定绑定到自身的回调方法、不接收请求数据，因此该漏洞的可利用性取决于站点是否安装了把请求数据写入表格行数据的贡献模块或自定义代码：在满足这一前提的站点上，攻击者可让服务器执行任意回调，并借助Drupal默认安装的PEAR文件组件读取、写入或删除Web服务用户有权限的文件，替换公共文件目录的安全配置，最终在站点上执行任意系统命令；在此前提下，整个利用过程无需账号认证与管理员交互，可导致站点完全失陷。未安装此类模块的纯核心站点不具备该利用条件。

• 漏洞原理

该漏洞源于Drupal表格渲染流程对行回调的处理方式：表格在渲染前会执行行数据中携带的回调函数名，而不做任何校验，凡是能影响行数据的模块或代码都能决定执行内容。

在具备该执行条件后，攻击者可借助Drupal默认包含的文件组件完成Web服务用户有权限的文件的读写与删除，并替换公共文件目录的安全配置，使写入的PHP文件被服务器执行，最终形成远程代码执行；官方修复版本已删除该动态回调执行逻辑。

整体上，该漏洞需要站点安装存在相关缺陷的贡献模块或自定义代码，但一旦满足条件，攻击者无需认证即可在服务器上执行任意命令，导致站点完全失陷，属于需要优先处置的高危漏洞。本次复现使用了一个仅用于实验、标注清楚的writer模块来模拟公告中未点名的贡献模块写入点，核心缺陷代码、PEAR组件与 .htaccess 配置均为官方原版。

上图为核心缺陷代码（Drupal 11.x FieldUiTable.php 第 72 行）：表格渲染前把行数据中的#region\_callback作为PHP可调用对象直接执行，且未做任何校验，这是整条利用链的起点。

• 漏洞复现

搭建Drupal漏洞环境，一键运行自动化脚本，回显系统命令执行结果，证明漏洞验证成功。

• 安全建议

（1）官方安全更新（推荐）

Drupal官方已发布修复版本，建议相关用户立即升级：Drupal 11.4.x 升级至11.4.10，11.3.x 升级至11.3.19，10.6.x升级至10.6.19，12.0.0-alpha/beta 升级至12.0.0-beta2 或更高版本；Drupal 11.2.x及以下与10.5.x 及以下已停止维护，不再提供安全更新。

（2）临时缓解措施

• 若站点不需要字段管理功能，可直接卸载核心Field UI模块（drush pm:uninstall field\_ui），该模块被卸载后漏洞功能不可达，可作为升级前的临时防护。
• 限制/admin/structure及Field UI相关路由的访问来源，仅允许可信管理网络访问；在WAF或反向代理层对含有region\_callback、call\_user\_func\_array等异常参数以及指向sites/default/files的可疑请求进行检测与拦截。

（3）安全加固

• 将Drupal管理后台与业务访问进行网络隔离，仅允许堡垒机、VPN或指定运维网段访问管理路由；对站点开启Drupal安全公告邮件订阅，及时跟进core安全更新。
• 对公共文件目录进行完整性监控，监测files/.htaccess的内容变化以及files目录下新增的.php文件；出现构造的RewriteEngine On + php\_flag engine on配置文件应立即按入侵事件处置。

参考链接：

[1] https://www.drupal.org/sa-core-2026-014

[2] https://fortbridge.co.uk/research/cve-2026-108097-deep-dive-turning-a-drupal-field-ui-callback-into-rce/

启明星辰积极防御实验室（ADLab）

ADLab成立于1999年，是中国安全行业最早成立的攻防技术研究实验室之一，微软MAPP计划核心成员，“黑雀攻击”概念首推者。截至目前，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计发布安全漏洞7000余个，持续保持国际网络安全领域一流水准。实验室研究方向涵盖基础安全研究、电信运营商基础设施安全研究、移动终端安全研究、云安全研究、信创安全研究、物联网安全研究、车联网安全研究、工控安全研究、数据安全研究、5G安全研究、AI安全研究、卫星安全研究、低空安全研究、高级威胁研究、攻防体系建设。研究成果应用于产品核心技术研究、国家重点科技项目攻关、专业安全服务等。