Wer eine eigene Drupal-Seite betreibt — vom Firmenauftritt bis zum privaten Blog oder Verein —, sollte sich die Sicherheitsmeldung SA-CORE-2026-014 genau ansehen. Drupal hat damit eine kritische Lücke im Field-UI-Modul geschlossen, die unter bestimmten Bedingungen zur vollständigen Serverübernahme führen kann.
Ungeprüfte PHP-Callbacks beim Rendern von Feldtabellen
Die als CVE-2026-108097 erfasste Lücke entsteht dadurch, dass das Field-UI-Modul beim Rendern seiner Verwaltungstabellen bestimmte PHP-Callbacks nicht ausreichend überprüft. Der Drupal-Sicherheitsausschuss stuft das Risiko mit 19 von 25 Punkten als kritisch ein. Wichtig für die Einordnung: Mit dem reinen Drupal-Core allein lässt sich die Lücke nicht direkt ausnutzen. Sobald aber bestimmte, weit verbreitete Contributed Modules installiert sind, existieren laut Drupal-Sicherheitsteam mehrere ernsthafte Angriffspfade — und mindestens einer davon funktioniert komplett ohne Authentifizierung.
Welche Versionen betroffen sind
Betroffen sind Drupal-Installationen der Versionsbereiche 8.9.0 bis vor 10.6.19, 11.0.0 bis vor 11.3.19, 11.4.0 bis vor 11.4.10 sowie die Entwicklerversion 12.0.0-alpha1 bis vor 12.0.0-beta2. Das deckt praktisch jede noch gepflegte Drupal-Linie ab — von alten LTS-Installationen bis zur aktuellen Entwicklerversion.
Patch oder Übergangslösung
Der Fix steht für alle betroffenen Linien bereit: Drupal 10.6.19, 11.3.19 und 11.4.10 schließen die Lücke vollständig. Wer aus Zeitgründen nicht sofort updaten kann, bekommt vom Drupal-Sicherheitsteam eine konkrete Übergangslösung an die Hand: Das Core-Modul „Field UI“ (field_ui) deaktivieren entschärft die Lücke, solange die Seite nicht aktualisiert ist. Das Modul wird nur für die Verwaltungsoberfläche der Feldkonfiguration benötigt, nicht für die normale Darstellung der Website — ein Deaktivieren hat für Besucher in der Regel keine sichtbaren Folgen.
Warum Zusatzmodule den Unterschied machen
Dass sich eine Core-Lücke erst durch Zusatzmodule in eine ernsthafte Bedrohung verwandelt, ist bei Drupal kein Einzelfall — gerade weil viele Installationen Dutzende Contributed Modules gleichzeitig einsetzen, von Formular-Buildern bis zu Such- und Medien-Erweiterungen. Wer nicht genau weiß, welche der eigenen Zusatzmodule betroffene Code-Pfade triggern könnten, sollte im Zweifel vom schlimmsten Fall ausgehen und patchen, statt auf eine genaue Risikoanalyse zu warten.
Für Self-Hoster, die Drupal etwa über ein Shared-Hosting-Paket oder einen eigenen VPS betreiben, lohnt sich zusätzlich ein Blick in die eigene Update-Automatisierung: Wer Composer-basierte Deployments nutzt, kann den Patch meist binnen Minuten einspielen; wer noch klassisch per manuellem Update arbeitet, sollte das jetzt zeitnah nachholen, statt es auf die lange Bank zu schieben.
Häufige Fragen
Bin ich automatisch sicher, wenn ich das Field-UI-Modul nicht aktiv nutze?
Reicht die Mitigation „Modul deaktivieren“ dauerhaft aus?
Welche Contrib-Module machen die Lücke konkret gefährlich?
Die Advisory SA-CORE-2026-014 ist nicht die einzige Sicherheitsmeldung, die Drupal im selben Zeitraum veröffentlicht hat — begleitend wurden auch kleinere Cross-Site-Scripting-Lücken geschlossen. Für den eigenen Patch-Fahrplan lohnt sich deshalb ein genauer Blick in die komplette Liste der Oktober-Advisories, statt sich ausschließlich auf die kritischste Meldung zu konzentrieren.