--- title: "Drupal, katkılı modüller üzerinden giriş gerektirmeyen kritik RCE açığını yama yaptı" url: "https://teknotayf.com/haber/drupal-katkili-moduller-uzerinden-giris-gerektirmeyen-kritik-rce-acigini-yama-yapti" markdown_url: "https://teknotayf.com/haber/drupal-katkili-moduller-uzerinden-giris-gerektirmeyen-kritik-rce-acigini-yama-yapti.md" site: "teknotayf.com" language: "tr" published: "2026-10-15 15:07:20" updated: "2026-10-15 12:32:39" category: "Siber Güvenlik" tags: ["Web Güvenliği","RCE","Drupal Açığı","CVE-2026-108097"] source: "The Hacker News" --- # Drupal, katkılı modüller üzerinden giriş gerektirmeyen kritik RCE açığını yama yaptı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/drupal-katkili-moduller-uzerinden-giris-gerektirmeyen-kritik-rce-acigini-yama-yapti > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Drupal çekirdeğindeki Field UI modülünde uzaktan kod çalıştırma açığı bulundu. Sorun 14 Ekim’de 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle kapatıldı. Açık, katkılı modüller aracılığıyla ve en az bir yol için giriş olmadan da kullanılabiliyor. - **Yayın tarihi:** 2026-10-15 15:07 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Web Güvenliği, RCE, Drupal Açığı, CVE-2026-108097 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html) ![Drupal, katkılı modüller üzerinden giriş gerektirmeyen kritik RCE açığını yama yaptı](https://teknotayf.com/assets/uploads/2026/10/c99d9f64bf5467eb5b8b0d6783a2e750.jpg) Swati Khandelwal – 15 Ekim 2026 Açıklık / Web Güvenliği **Drupal** çekirdeğinin Field UI modülünde kritik bir kusur var. Bu kusur saldırganın sitenin sunucusunda kod çalıştırmasına olanak tanıyabilir. Düzeltmeler 14 Ekim’de Drupal 11.4.10, 11.3.19 ve 10.6.19 sürümleriyle yayımlandı. Saldırgan kusura yalnızca çekirdek üzerinden ulaşamıyor. Drupal Güvenlik Ekibi uyarısında bunu belirtti. Katkılı modüller üzerinden birkaç istismar yolu bulunuyor ve bilinen en az bir yol giriş gerektirmiyor. Kusur **CVE-2026-108097** olarak izleniyor. Kusur, site oluşturucuların alanları ve bunların nasıl görüntüleneceğini yönettiği yönetici sayfalarının arkasındaki çekirdek modül olan Field UI’da yer alıyor. Drupal kendi risk ölçeğinde kusura 25 üzerinden 19 puan veriyor. Proje bu seviyeyi kritik olarak adlandırıyor. Uyarı, kusura yol açan katkılı modüllerin adını vermiyor ve özel kod da açığa çıkarabilir. Güvenlik Ekibi’nden Drew Webber ile Octavio Galland kusuru bildiren kişiler olarak gösteriliyor. ## Şimdi Ne Yapılmalı Desteklenen her dal için düzeltilmiş sürüm: Drupal 11.4.x: 11.4.10’a güncelle Drupal 11.3.x: 11.3.19’a güncelle Drupal 10.6.x: 10.6.19’a güncelle Drupal 12.0.0 beta: 12.0.0-beta2, üretim kullanımı için değil Düzeltme yok: Drupal 11.2.x ve altı, 10.5.x ve altı ile Drupal 8 ve 9’un tamamı yaşam döngüsünü tamamladı 11.3.x ve 10.6.x dallarının güvenlik kapsamı Aralık 2026’da sona eriyor. 4 Ekim’de başlayan haftada drupal.org’a Drupal çekirdek sürümünü bildiren 531.499 siteden 151.442’si (%28,5) uyarıda etkilenen olarak listelenen ve düzeltme almayan bir dalda bulunuyordu. Hâlâ güncelleyemeyen bir site Field UI modülünü, field_ui’yi kaldırabilir. Uyarıya göre bu, "siteler güncellenirken koruma sağlayacak". Modül kaldırıldığı sürece alanları ve görüntülenmelerini yöneten yönetici sayfaları kullanılamaz. Field UI, Drupal’ın Standard kurulum profili tarafından kurulur. Bu profilden oluşturulan bir site, biri kaldırmadıkça modüle sahiptir. Drupal Steward, Güvenlik Ekibi tarafından yazılmış kurallara sahip bir web uygulama güvenlik duvarı hizmetidir. Bu kusur için bilinen bazı saldırı vektörlerini zaten engelliyor. Acquia, Pantheon, Ironstar ve Skpr müşterileri için hizmeti sunuyor. Her olası istismarı kapsamıyor ve bu sitelerin yine de güncelleme yapması gerekiyor. Bunu uyarı belirtiyor. Uyarı, yayınlandığı sırada kusur için kamuya açık bir istismar kodunun bulunmadığını değerlendirdi. 15 Ekim itibarıyla böyle bir kod ortaya çıkmadı ve ne uyarıda ne de kamu raporlarında kusurun kullanıldığına dair açıklama yer aldı. Güvenlik Ekibi sürümü 12 Ekim’de ön duyurmuş ve sitelerden zaman ayırmalarını istemişti. "Sömürü kodları saatler ya da günler içinde geliştirilebilir" denilmişti. Mayıs ayında Drupal, yalnızca PostgreSQL kullanan siteleri etkileyen çekirdek SQL enjeksiyonu açığı için uyarısının ardından iki gün içinde istismar girişimleri bildirmişti. CISA bu açığı istismar edilen açıklar kataloğuna eklemişti. ## Düzeltme Ne Değiştirdi Field UI yönetici tablolarını render dizilerinden oluşturur. Render dizileri Drupal’ın HTML’e çevirdiği PHP dizileridir. Düzeltmeden önce tablo öğesinin ön render adımı, her tablo satırının #region_callback özelliğinde taşıdığı PHP çağrılabilirini call_user_func_array üzerinden, çağrılabilirin ne olduğuna dair bir kontrol olmadan çalıştırıyordu. Drupal’ın derleyicisi 2019’da 8.8 sürümünden bu yana güvensiz render geri çağırmalarını çalıştırmayı reddediyor. Bu kısıtlama, render sisteminin keyfi geri çağırmaları çok kolay çağırabileceğini gösteren önceki uyarıların ardından eklendi. Derleyici tablo öğesinin kendi yöntemlerine güvenir, bu yüzden ön render adımını çalıştırdı ve kontrol çağrılabilirin ardından yürütülen adıma ulaşmadı. 11.4.10 kodu artık geri çağırmayı çağırmıyor. Her satırın bölgesini satırın kendi bölge değerinden okuyor ve bu değer bilinen bir bölge değilse tablonun gizli bölgesini ya da ilk bölgesini kullanıyor. Aynı çağrı en az 2020’de Drupal 8.9.0’dan beri kodda bulunuyordu. Çekirdeğin kendisinde geri çağırma yalnızca Field UI’ın kendi görüntüleme formları tarafından ayarlanıyor. #region_callback’i bir field_ui_table satırında ayarlayan özel kod, güncelleme sonrasında artık çalışmayacak. Pantheon sitelerden bu tür kodu kontrol etmelerini ve güncelleme sonrası alanları yönet ve görüntülemeyi yönet sayfalarını test etmelerini istiyor. Ayrıca Entity List modülü de aynı koşullarla, giriş gerektirmeyen bilinen bir yol da dahil olmak üzere kritik uzaktan kod çalıştırma uyarısı CVE-2026-108099 aldı. 3.0.10 sürüm notu düzeltmenin Field UI değişimini yansıttığını söylüyor ve çekirdeği güncellemek modülü güncellemiyor. 4 Ekim’de başlayan haftada 90 site kullanımını bildirdi. Aynı çekirdek sürümleri Link modülünde CVE-2026-108515 ve Navigation modülünde CVE-2026-108514 olarak iki orta derecede kritik çapraz site betikleme açığını da düzeltiyor. Her ikisi de en az giriş yapmış bir kullanıcı gerektiriyor. Drupal 7 drupal.org’da Ocak 2025’te yaşam döngüsünü tamamladı. Pantheon, Tag1 Consulting ile Drupal 7 uzun süreli desteğinin Drupal 7.107’yi düzeltmenin geri taşınmasıyla yayımladığını söylüyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/drupal-katkili-moduller-uzerinden-giris-gerektirmeyen-kritik-rce-acigini-yama-yapti Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.