أصدرت منصة إدارة المحتوى Drupal تحديثات أمنية عاجلة لمعالجة ثغرة حرجة في وحدة Field UI الأساسية، قد تتيح للمهاجمين تنفيذ تعليمات برمجية عشوائية على الخادم المستضيف للموقع. ورغم أن الثغرة لا يمكن استغلالها عبر النواة الأساسية للنظام وحدها، فإن فريق أمن Drupal أكد وجود عدة مسارات استغلال مرتبطة بوحدات إضافية مساهمة، من بينها مسار معروف لا يتطلب حتى تسجيل الدخول إلى الموقع.
وتحمل الثغرة المعرف CVE-2026-108097، وقد صنفها مشروع Drupal ضمن مستوى “حرج” بعدما حصلت على 19 نقطة من أصل 25 ضمن مقياس المخاطر المعتمد داخلياً. وتأتي المعالجة الأمنية ضمن الإصدارات 11.4.10 و11.3.19 و10.6.19 التي طُرحت في 14 أكتوبر 2026.
ثغرة في وحدة إدارة الحقول تهدد المواقع مباشرة
تكمن المشكلة الأمنية في وحدة Field UI المسؤولة عن إدارة الحقول وكيفية عرضها داخل مواقع Drupal. وتُستخدم هذه الوحدة على نطاق واسع من قبل مسؤولي المواقع ومطوريها لإدارة البنية الداخلية للمحتوى.
ووفقاً لتحليل فريق الأمن، فإن الخلل يسمح بتنفيذ شيفرات برمجية عبر آلية استدعاء دوال PHP داخل جداول الإدارة الخاصة بالوحدة. وقد تبين أن بعض الوحدات الإضافية أو الأكواد المخصصة تستطيع تمرير قيم يمكن أن تؤدي إلى تشغيل دوال غير موثوقة، ما يمهد الطريق أمام تنفيذ أوامر برمجية على الخادم.
ولم يكشف فريق Drupal عن أسماء الوحدات الإضافية التي تفتح مسارات الاستغلال بشكل مباشر، وهو إجراء شائع يهدف إلى الحد من استغلال الثغرات قبل أن يتمكن مسؤولو المواقع من تثبيت التحديثات اللازمة. كما أشار إلى أن بعض الأكواد المخصصة التي يطورها مالكو المواقع قد تسهم أيضاً في كشف هذه الثغرة وإتاحة استغلالها.
وتعود جذور المشكلة إلى آلية موجودة في الكود البرمجي منذ إصدارات Drupal 8، ما يعني أن الثغرة كانت كامنة داخل المنصة لسنوات طويلة قبل اكتشافها والإبلاغ عنها من قبل الباحثين الأمنيين درو ويبر وأوكتافيو غالاند.
إصدارات معرضة للخطر وأخرى خرجت من الدعم
حدد فريق Drupal الإصدارات التي تلقت إصلاحات أمنية فورية على النحو التالي:
- Drupal 11.4.x يجب تحديثه إلى الإصدار 11.4.10.
- Drupal 11.3.x يجب تحديثه إلى الإصدار 11.3.19.
- Drupal 10.6.x يجب تحديثه إلى الإصدار 10.6.19.
- الإصدار التجريبي Drupal 12.0.0 Beta 2 يتضمن الإصلاح لكنه غير مخصص لبيئات الإنتاج.
في المقابل، لن تحصل الإصدارات Drupal 11.2 وما دونها، وDrupal 10.5 وما دونها، إضافة إلى Drupal 8 وDrupal 9، على أي تحديثات أمنية لأن دورة حياتها انتهت رسمياً.
وتكشف البيانات المنشورة من مجتمع Drupal عن أن نحو 151 ألف موقع من أصل أكثر من 531 ألف موقع أبلغت عن إصدارها المستخدم كانت تعمل على فروع متأثرة بالثغرة ولم تتلق إصلاحاً رسمياً حتى وقت نشر التنبيه، وهو ما يمثل قرابة 28.5% من إجمالي المواقع المبلغة.
وتعكس هذه الأرقام تحدياً أمنياً كبيراً يواجهه قطاع إدارة المحتوى مفتوح المصدر، حيث تواصل آلاف المواقع تشغيل إصدارات قديمة لأسباب تتعلق بالتوافق البرمجي أو نقص الموارد التقنية اللازمة للتحديث.
إجراءات الحماية العاجلة للمسؤولين والمطورين
حث فريق أمن Drupal جميع مالكي المواقع على تنفيذ التحديثات الجديدة في أسرع وقت ممكن، محذراً من أن تطوير أدوات استغلال عملية قد يحدث خلال ساعات أو أيام من الإعلان عن الثغرة.
وبالنسبة للمؤسسات التي لا تستطيع التحديث بشكل فوري، أوصى الفريق بإلغاء تثبيت وحدة Field UI مؤقتاً، حيث يؤدي ذلك إلى منع استغلال الثغرة إلى حين تطبيق الإصلاحات الأمنية المطلوبة.
إلا أن هذا الإجراء سيؤدي في الوقت نفسه إلى تعطيل صفحات إدارة الحقول وعروضها، ما قد يؤثر على عمليات التطوير والصيانة الإدارية للموقع.
كما أشار فريق Drupal إلى أن خدمة Drupal Steward، وهي خدمة جدار حماية تطبيقات الويب التي تتضمن قواعد أمنية يطورها فريق الأمن نفسه، تستطيع حجب بعض مسارات الهجوم المعروفة المرتبطة بهذه الثغرة. ومع ذلك شدد على أن الحماية ليست شاملة لجميع السيناريوهات المحتملة، وبالتالي لا يمكن الاعتماد عليها بديلاً عن تثبيت التحديثات الرسمية.
وحتى 15 أكتوبر 2026 لم تكن هناك أي شيفرات استغلال عامة متاحة للجمهور، كما لم تُسجل هجمات موثقة تستغل هذه الثغرة في البيئات الحقيقية، الأمر الذي يمنح المؤسسات نافذة زمنية محدودة للاستجابة قبل بدء موجة استغلال محتملة.
ثغرات إضافية وتحذيرات من موجة استغلال جديدة
لم تقتصر المعالجة الأمنية الأخيرة على ثغرة Field UI فقط، بل تضمنت أيضاً إصلاح ثغرتين متوسطتي الخطورة من نوع البرمجة النصية عبر المواقع XSS داخل وحدتي Link وNavigation، وهما ثغرتان تتطلبان وجود مستخدم مسجل الدخول لاستغلالهما.
كذلك حصلت وحدة Entity List الإضافية على تنبيه أمني مستقل خاص بها يتعلق بثغرة تنفيذ تعليمات برمجية عن بُعد تحمل المعرف CVE-2026-108099. وتشترك هذه الثغرة مع مشكلة Field UI في ظروف الاستغلال نفسها تقريباً، بما في ذلك وجود مسار معروف لا يتطلب المصادقة أو تسجيل الدخول.
وأشار مطورو الوحدة إلى أن الإصلاح المطبق داخل Entity List يحاكي التغييرات ذاتها التي أدخلت على Field UI، ما يعني أن تحديث Drupal الأساسي وحده لا يكفي لمعالجة المخاطر المرتبطة بهذه الوحدة، بل يتعين تحديثها بشكل منفصل إلى الإصدار الآمن.
وتأتي هذه التحذيرات في وقت ما زالت فيه الذاكرة الأمنية لمجتمع Drupal تستحضر حادثة مايو 2026، عندما جرى رصد محاولات استغلال فعلية خلال يومين فقط من الكشف عن ثغرة حقن SQL أثرت في المواقع العاملة على PostgreSQL، قبل أن تضيفها وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA إلى قائمة الثغرات المستغلة فعلياً.
