2026-10-24 10:21:04 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

漏洞速递 | CVE-2026-108097 Drupal RCE漏洞（附下载）

渗透Xiao白帽

2026年10月20日 17:58
北京

去阅读

Drupal 是一款开源的内容管理系统（CMS）和 Web 应用框架，使用 PHP 开发，由全球 Drupal 社区维护，采用 GPL 许可。Drupal 提供内容建模、字段管理、多语言、多站点、权限与工作流、主题/模块扩展等能力，广泛应用于企业门户、政府网站、高校、媒体和社区平台，也可用于构建无头（headless）/解耦架构的 Web 应用。

针对CVE-2026-108097（SA-CORE-2026-014）的防御性非漏洞检测器，这是一个关键的远程代码执行漏洞。 Drupal核心的Field UI模块。

Drupal安全风险：19 / 25（危急）
Drupal 咨询 SA-CORE-2026-014，发布于 2026-10-14。
Drupal 核心本身无法直接利用，而是贡献模块提供多条利用路径——至少一条无需身份验证—— 自定义代码也可能暴露出易受攻击的功能。

漏洞所需的内容

该易受攻击的代码路径存在于核心的现场UI模块（）。 Drupal安全团队的临时解决方案是卸载field_ui模块——这样一个未启用Field UI的网站会有主要利用的前提条件已解除。可达性仍然取决于贡献者或者自定义代码，因此将启用字段界面的受影响版本视为暴露直到被修补。field_ui

这个工具的作用

detect_cve_2026_108097.py执行只读检查：

指纹（未认证）：确定主机是否为Drupal 网站（头部、生成器标签、会话Cookie）。drupal-settings-json
版本（非侵入性）：读取 meta 标签的核心版本，并将其与受影响范围。/core/CHANGELOG.txt``generator
前提条件（局部）：其中（通过）或，检查模块是否被启用。--local``drush``--config-file``field_ui
结论：

为每个目标打印清晰的结论。

它只发送普通的只读请求——没有人工或利用的流量。

Github EXP已公开

下载地址：

https://github.com/FurkanKAYAPINAR/CVE-2026-108097

受影响版本

分支	现状	固定发行
11.4.x	受影响时间 11.4.0–11.4.9	11.4.10
11.3.x	受影响 11.3.0–2018年3月11日	11.3.19
10.6.x	受影响 10.6.0–2018年6月10日	10.6.19
12.0（预发布）	受影响的α1–β1	12.0.0-beta2
7.x（LTS）	受影响<7.107	7.107

已终止且未打补丁（迁移到支持版本）：11.2.x 和早期、10.5.x 以及更早的 Drupal 9、Drupal 8.9。

安装

pip install -r requirements.txt

需要 Python 3.8+。前提检查还使用。--local``drush

用途

# Unauthenticated fingerprint + version (is this an affected Drupal?)./detect_cve_2026_108097.py -t example.com# Scan a list of hosts and emit JSON./detect_cve_2026_108097.py --targets-file hosts.txt --json# Run against a local codebase (uses drush; most accurate — also checks field_ui)./detect_cve_2026_108097.py --local --root /var/www/drupal# Or classify an exported config's module state./detect_cve_2026_108097.py --config-file ./config/sync/core.extension.yml

退出代码是指任何目标处于易受攻击状态（CI友好型）时。2``0

结论

结论	含义
`VULNERABLE`	受影响版本并启用`field_ui`
`LIKELY_VULNERABLE`	受影响版本; 州未验证（远程）`field_ui`
`AFFECTED_VERSION_FIELD_UI_DISABLED`	受影响版本，但现场UI已卸载（已采取变通措施）
`NOT_AFFECTED_PATCHED`	修正后版本
`NOT_AFFECTED_BRANCH`	受影响集之外的分支/版本
`NOT_A_DRUPAL_OR_UNREACHABLE`	无 Drupal 指示器
`UNKNOWN`	数据不足（例如版本无法远程读取）