Drupal hat fünf Sicherheitslücken geschlossen, zwei davon kritisch. Betroffen sind die Module Entity List und Field UI. Beide erlauben Codeausführung aus der Ferne, sobald Zusatzmodule im Spiel sind. Admins sollten auf Drupal 11.4.10, 11.3.19 oder 10.6.19 aktualisieren.
Zwei von fünf Drupal-Lücken sind kritisch: Angreifer können damit Code auf dem Server ausführen. Das Risiko gilt als kritisch. Wer eine Drupal-Seite betreibt, sollte die Updates jetzt einplanen.
Das Wichtigste in Kürze
- Zwei kritische Lücken: Die Module Entity List (CVE-2026-108099) und Field UI (CVE-2026-108097) erlauben Codeausführung aus der Ferne.
- Zusatzmodule öffnen den Weg: Die Module sind allein nicht angreifbar. Über andere Module gibt es aber Wege, mindestens einen ohne Anmeldung.
- Updates liegen bereit: Entity List 3.0.10 sowie Drupal 11.4.10, 11.3.19 oder 10.6.19 beheben die Fehler.
- Noch keine Angriffe gemeldet: Drupal nennt keine Ausnutzung, warnt aber vor Exploits innerhalb von Stunden oder Tagen.
Die zwei kritischen Drupal-Sicherheitslücken
Das Drupal-Team hat Patches für fünf Schwachstellen veröffentlicht. Die Meldung von SecurityWeek stützt sich auf die Hinweise des Projekts. Zwei Fehler gelten als kritisch, weil sie Code auf dem Server ausführen können.
Die erste Lücke steckt im Modul Entity List. Es erlaubt, Listen von Inhalten ohne das Modul Views zu bauen. Allein ist es nicht angreifbar. Drupal schreibt aber, dass mindestens ein bekannter Weg keine Anmeldung braucht. Auch eigener Code kann die anfällige Funktion offenlegen.
Die zweite Lücke betrifft das Modul Field UI im Drupal-Kern. Auch hier reicht der Kern allein für einen Angriff nicht aus. Zusatzmodule bieten jedoch ernste Wege, darunter mindestens einen ohne Anmeldung.
Dabei zeigt sich ein Muster. Die Gefahr hängt von der Kombination der Module ab. Wer viele Erweiterungen nutzt, kann das Risiko schlecht von aussen einschätzen. Eine Seite gilt daher nicht als sicher, nur weil sie das Modul nicht direkt im Netz zeigt.
Die übrigen drei Fehler im Update-Paket
Die Updates schliessen auch Lücken, die Schadcode im Browser von Besuchern laufen lassen (Cross-Site-Scripting, kurz XSS). Sie sind weniger schwer, gehören aber zum selben Update-Paket.
| Komponente | Lücke | Was das bedeutet |
|---|---|---|
| Link-Modul im Kern | XSS (CVE-2026-108515) | Update auf eine gepatchte Kernversion einspielen |
| Navigation-Modul | XSS (CVE-2026-108514) | Betrifft den Kern, wird mit den Kernupdates behoben |
| Admin-Theme Gin | XSS-Fehler | Gin 5.0.16 oder 4.1.4 installieren |
Drupal Update einspielen: So schützt Du Deine Seite
Drupal nennt klare Schritte. Prüfe zuerst, welche Version läuft. Ältere Versionen haben das Ende ihrer Laufzeit erreicht und erhalten keine Sicherheitsupdates mehr.
Die empfohlenen Versionen:
- Drupal 11.4.10, 11.3.19 oder 10.6.19 für den Kern
- Entity List 3.0.10 für das gleichnamige Modul
- Gin 5.0.16 oder 4.1.4 für das Admin-Theme
Deshalb lohnt sich ein Blick auf die installierten Module. Wer Field UI nicht braucht, kann es deinstallieren. Drupal nennt das als Schutzmassnahme für die Field-UI-Lücke. Auf Produktivseiten ist das Modul oft entbehrlich, weil es vor allem beim Bau von Feldern dient.
Zudem hatte Drupal am 12. Oktober 2026 in einer Vorwarnung gebeten, Zeit für Kernupdates einzuplanen. Exploits könnten demnach binnen Stunden oder Tagen entstehen. Die Details zu den Lücken stehen auf der Seite der Sicherheitshinweise.
Zum Stand der Quelle
Drupal hat die Vorwarnung am 12. Oktober 2026 veröffentlicht. Hauptquelle ist die Meldung von SecurityWeek, die nach den Patches erschien. Sie nennt kein Datum der Erstveröffentlichung und keine spätere Aktualisierung. Dieser Beitrag gibt den Stand vom 20. Oktober 2026 wieder. Drupal erwähnt keine Angriffe in freier Wildbahn. Das kann sich rasch ändern.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Drupal 10 oder 11 betreibt, sollte die Kernupdates zeitnah testen und einspielen. Das gilt für Firmen, Verwaltungen und Agenturen mit Drupal-Seiten. Besonders dringend ist es, wenn Entity List oder Field UI aktiv sind. Drupal nennt dafür keine Frist, rechnet aber mit schnellen Exploits. Die Updates selbst sind kostenlos, der Aufwand liegt in Tests und Einspielen. Seiten auf Versionen ohne Support müssen zuerst auf eine unterstützte Version wechseln.
Fazit
Du kennst nun die zwei kritischen Lücken und die Fixversionen. Prüfe als Nächstes Deine Drupal-Version und die aktiven Module. Spiele die passenden Updates ein und entferne Field UI, wenn Du es nicht brauchst.
Quellen: SecurityWeek. Foto: RyanMcGuire / Pixabay. Stand: 20. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.