Drupal cảnh báo lỗ hổng RCE nghiêm trọng có thể bị khai thác cực nhanh

Drupal vừa tung ra bản vá cho 5 lỗ hổng bảo mật, trong đó nổi bật là hai lỗ hổng mức độ nghiêm trọng cho phép kẻ tấn công thực thi mã từ xa (RCE). Điều đáng lo ngại là giới nghiên cứu bảo mật đánh giá khả năng bị khai thác rất cao, thậm chí mã khai thác có thể xuất hiện chỉ trong vài giờ sau khi thông tin được công bố.

Cảnh báo lỗ hổng bảo mật Drupal

Hai lỗ hổng RCE nghiêm trọng

Lỗ hổng đầu tiên nằm ở module Entity List, cho phép người dùng tạo danh sách các thực thể mà không cần dùng đến Views. Lỗ hổng này được theo dõi với mã CVE-2026-108099. Bản thân module không đủ để bị khai thác, nhưng khi kết hợp với các module đóng góp khác (contributed modules) thì lại mở ra những đường tấn công nguy hiểm.

"Ít nhất một đường khai thác đã biết không yêu cầu xác thực. Mã tùy chỉnh (custom code) cũng có thể phơi bày chức năng dễ bị tổn thương", Drupal lưu ý.

Lỗ hổng thứ hai ảnh hưởng tới module Field UI trong lõi Drupal, được theo dõi với mã CVE-2026-108097. Tương tự lỗ hổng trên, nó không thể bị khai thác chỉ với Drupal core, nhưng các module đóng góp lại tạo ra những đường tấn công nghiêm trọng, bao gồm ít nhất một đường không cần xác thực. Người dùng có thể tạm gỡ cài đặt module Field UI như một biện pháp giảm thiểu rủi ro.

Hướng dẫn khắc phục

Để vá các lỗ hổng này, người dùng được khuyến nghị nâng cấp lên Entity List phiên bản 3.0.10 và Drupal phiên bản 11.4.10, 11.3.19 hoặc 10.6.19. Cần lưu ý rằng các bản phát hành Drupal trước đó đã hết vòng đời hỗ trợ (end-of-life) và sẽ không còn nhận được bản cập nhật bảo mật.

Thêm các lỗ hổng XSS và lỗi ở theme Gin

Bên cạnh hai lỗ hổng RCE, bản cập nhật lần này còn xử lý các lỗ hổng cross-site scripting (XSS) trong module Link của Drupal core (được theo dõi chung với mã CVE-2026-108515) và một lỗ hổng XSS trong module Navigation (CVE-2026-108514).

Ngoài ra, Drupal cũng công bố bản vá cho một khiếm khuyết bảo mật trong theme quản trị Gin, có thể dẫn tới tấn công XSS. Các phiên bản Gin 5.0.16 và 4.1.4 đã chứa bản sửa lỗi cho vấn đề này.

Minh họa về mối đe dọa bảo mật

Nguy cơ khai thác trong thời gian ngắn

Hiện Drupal chưa ghi nhận trường hợp nào trong số các lỗ hổng trên bị khai thác ngoài thực tế. Tuy nhiên, trước đó vào ngày 12/10, dự án này đã kêu gọi người dùng dành thời gian cho việc cập nhật lõi, với cảnh báo rằng "mã khai thác có thể được phát triển chỉ trong vài giờ hoặc vài ngày".

Đối với các quản trị viên website và đội ngũ vận hành tại Việt Nam đang chạy Drupal — vốn được nhiều doanh nghiệp, cơ quan và tổ chức giáo dục sử dụng cho các cổng thông tin lớn — đây là lời nhắc nhở cấp bách. Việc kiểm tra phiên bản, rà soát các module đang cài đặt và lên kế hoạch nâng cấp ngay lập tức nên được ưu tiên, đặc biệt với các hệ thống có kết nối Internet công khai.

Thông tin chi tiết có thể được tra cứu tại trang security advisories của Drupal.

Logo SecurityWeek