Kritisches Drupal-Sicherheitsupdate: Remote Code Execution (SA-CORE-2026-014)

Am 14. Oktober 2026 hat das Drupal Security Team ein kritisches Sicherheitsupdate veröffentlicht. Die Schwachstelle SA-CORE-2026-014 (CVE-2026-108097) steckt im Field UI Modul und erlaubt das Ausführen von fremdem Code auf dem Server. In bestimmten Konstellationen braucht ein Angreifer dafür keinen Login. Angekündigt wurde das Update vorab mit PSA-2026-10-12 — mit dem Hinweis, dass Exploits innerhalb von Stunden bis Tagen zu erwarten sind.

Was ist betroffen?

Betroffen sind praktisch alle Drupal-Installationen: Version 8.9 bis 10.6.18, 11.0 bis 11.3.18, 11.4.0 bis 11.4.9 sowie die 12er Vorabversionen. Die Lücke liegt in Drupal Core, kann aber über Erweiterungsmodule ausgelöst werden.

Gleichzeitig wurden zwei weitere Core-Advisories publiziert, beide als "Moderately critical" eingestuft:

• SA-CORE-2026-015 (CVE-2026-108515) — Cross-Site-Scripting im Link-Modul
• SA-CORE-2026-016 (CVE-2026-108514) — Cross-Site-Scripting im Navigation-Modul

Alle drei werden mit demselben Core-Update behoben.

Zwei Module sind ebenfalls betroffen

Neben Drupal Core wurden zwei Advisories für Erweiterungsmodule veröffentlicht. Sie müssen separat aktualisiert werden — ein Core-Update allein genügt hier nicht:

• Entity List (SA-CONTRIB-2026-218, CVE-2026-108099) — Remote Code Execution, ebenfalls "Critical" mit 19 von 25 Punkten. Betroffen sind alle Versionen unter 3.0.10, auch hier gibt es mindestens einen Angriffsweg ohne Authentifizierung. Behoben in 3.0.10.
• Gin Admin Theme (SA-CONTRIB-2026-219, CVE-2026-110738) — Cross-Site-Scripting, "Moderately critical". Betroffen sind Version 4 vor 4.1.4 und Version 5 vor 5.0.16. Der Angreifer braucht ein Benutzerkonto mit der Berechtigung, bestimmte HTML-Attribute zu setzen, oder "administer menu". Behoben in 4.1.4 und 5.0.16.

Gin ist das verbreitetste Admin-Theme im Drupal-Umfeld und auch bei uns im Einsatz. Wer es nutzt, sollte es im selben Durchgang aktualisieren.

Weitere Advisories sind für heute nicht angekündigt.

Welche Versionen beheben das Problem?

Drupal Core:

• Drupal 11.4.10
• Drupal 11.3.19
• Drupal 10.6.19

Module:

• Entity List 3.0.10
• Gin Admin Theme 4.1.4 beziehungsweise 5.0.16

Für alle anderen Core-Zweige gibt es kein Update. Wer auf 10.5, 11.1 oder 11.2 läuft, bekommt diesen Fix nicht und muss zuerst auf einen unterstützten Zweig wechseln. Drupal 8 und 9 sind seit längerem End of Life. Für die Vorabversion Drupal 12 folgt ein 12.0.0-beta2 mit denselben Korrekturen.

Die vollständigen Details finden Sie in den offiziellen Drupal Security Advisories: SA-CORE-2026-014, SA-CORE-2026-015, SA-CORE-2026-016, SA-CONTRIB-2026-218 und SA-CONTRIB-2026-219.

Was NETNODE unternommen hat

Wir haben die Sicherheitsupdates bei allen von uns betreuten Drupal-Projekten mit Wartungsvertrag eingespielt oder sind daran dieses einzuspielen — Core wie Module. Betroffene Kunden wurden direkt informiert. Wenn Sie ein Drupal-Projekt betreiben, das nicht von NETNODE betreut wird, empfehlen wir dringend, das Update sofort durchzuführen und dabei auch Entity List und Gin zu prüfen.

Auch NodeHive SaaS Kunden sind in Sicherheit. Die Updates sind bereits eingespielt.

NETNODE Empfehlung

Sicherheitsupdates bei Drupal sollten innerhalb von 24 Stunden eingespielt werden, besonders bei der Einstufung "Critical" mit 19 von 25 Punkten. Bei einer Remote-Code-Execution-Lücke ohne Authentifizierung zählen Stunden, nicht Tage. Wer ein Drupal-Projekt betreibt, braucht einen klaren Prozess für solche Fälle: Monitoring der Security Advisories, schnelle Reaktion und regelmässige Updates als Grundlage. NETNODE übernimmt das für alle betreuten Projekte automatisch.

Wie unser Prozess bei einem kritischen Update konkret aussieht, beschreiben wir in So handeln wir bei einem kritischen Drupal Security Update. Mehr zur Sicherheitsarchitektur von Drupal erfahren Sie in Wie sicher ist Drupal?