Alerta Crítico: Drupal Corrige Falha de Execução Remota de Código em Módulos Contribuídos

A vulnerabilidade CVE-2026-108097, que afeta o Drupal, é uma falha de execução remota de código (RCE) no módulo Field UI. Tecnicamente, a brecha reside na maneira como o Drupal constrói suas tabelas administrativas a partir de "render arrays", que são arrays PHP que se convertem em HTML. Antes da correção, o passo de pré-renderização de um elemento de tabela executava qualquer função PHP definida na propriedade `#region_callback` de cada linha da tabela, via `call_user_func_array`, sem uma validação adequada do que essa função era. Apesar de o renderizador do Drupal já ter restrições contra callbacks não confiáveis desde a versão 8.8 (lançada em 2019), essa falha específica conseguiu contornar as proteções existentes. Isso ocorria porque o renderizador confiava nos próprios métodos do elemento da tabela, permitindo que o passo de pré-renderização fosse executado e a chamada maliciosa passasse despercebida.

A exploração da falha não é possível apenas com o core do Drupal, ela depende de módulos contribuídos para abrir caminhos de ataque. O mais grave é que, em pelo menos um desses caminhos, a execução do código malicioso dispensa qualquer tipo de autenticação, deixando o sistema totalmente exposto. Desenvolvedores Drew Webber e Octavio Galland foram os responsáveis por reportar a vulnerabilidade, acionando o time de segurança do Drupal. Outra falha de RCE similar, a CVE-2026-108099, também foi corrigida no módulo Entity List, com as mesmas condições de exploração e urgência.

Esta nova correção do Drupal representa uma evolução importante na segurança da plataforma. Em 12 de outubro de 2026, o time de segurança do Drupal havia pré-anunciado a liberação de um patch, alertando os usuários para reservarem tempo para a atualização, uma vez que exploits poderiam surgir rapidamente. Dois dias depois, em 14 de outubro de 2026, as versões 11.4.10, 11.3.19 e 10.6.19 do Drupal foram lançadas com a correção. A mudança técnica principal foi a remoção da execução direta do `#region_callback` via `call_user_func_array`. Agora, o código lê a região de cada linha diretamente do seu valor `region`, ou usa a região oculta da tabela. Isso corrige um comportamento que estava presente no código desde, pelo menos, o Drupal 8.9.0, lançado em 2020, e que permitia o bypass de restrições de segurança introduzidas anteriormente para evitar callbacks arbitrários.

A urgência desta correção se dá pela criticidade da vulnerabilidade de Execução Remota de Código (RCE) e pela facilidade de exploração em cenários que não exigem autenticação. Sistemas Drupal não atualizados ficam à mercê de atacantes que podem, por exemplo, instalar backdoors, roubar dados ou desfigurar sites. A própria equipe de segurança do Drupal alertou que, no passado, exploits para falhas críticas já foram desenvolvidos e utilizados em questão de horas ou dias após a divulgação. Por exemplo, em maio de 2026, uma vulnerabilidade de SQL injection no core do Drupal foi explorada em menos de dois dias, conforme noticiado na matéria do CEVIU News sobre o "Alerta Crítico: Falha de Execução de Código Remoto no Langflow" de 3 de setembro de 2026. A prontidão na aplicação dos patches não é só uma recomendação, é uma necessidade para evitar compromissos severos. Aproximadamente 28,5% dos sites que reportam suas versões ao drupal.org estavam em branches afetadas e sem correção na semana anterior ao patch, evidenciando o risco.