Drupal, Entity List 3.0.10'da CVE-2026-108099'i düzeltti; sömürtü kanıtları sınırlı

Drupal için CVE-2026-108099'in düzeltilmiş bir sürümü artık mevcut: Entity List katkı modülünün 3.0.10 öncesi tüm sürümleri etkileniyor ve yama 3.0.10. SA-CONTRIB-2026-218 numaralı bülten, müdahale ekiplerine net bir remediation adımı veriyor ama tespit materyali açısından çok az şey sunuyor. dev.to'da yayımlanan bir analize göre, herhangi bir kanıt (proof of concept), tam bir istek zinciri ya da CVE'ye özgü ihlal göstergesi kamuya açıklanmış değil.

Açık neyden ibaret

dev.to'daki yazıya göre bülten, sömürülmesinin sitedeki diğer katkı veya özel kodlara bağlı olduğu bir reflection-injection zafiyetini tanımlıyor ve kimlik doğrulaması olmadan erişilebilen en az bir yol tespit ediyor. Kapsam 3.0.10 altındaki sürümler. Bülten savunmasız sembolün adını vermiyor ve bunun pratik bir sonucu var: savunmacılar bilinen bir payload arayamıyor ve temiz sonuç veren dar bir metin araması pek bir şey kanıtlamıyor. Soruşturma yazılım envanteri, erişilebilirlik analizi ve genel sömürtü-sonrası belirtilerden derlenmek zorunda.

Çalışan kodla başlayın

Önce Entity List'in 3.0.10 altında nerede gerçekten kurulu olduğunu, yalnızca bağımlılık beyanına değil aktif koda bakarak belirleyin. Modülü doğrudan kullanan siteleri de, paylaşılan bir platform veya özel özellik üzerinden miras alan siteleri de kaydedin. Ardından Entity List davranışının güvenilmeyen girdiyle nerede kesiştiğini haritalayın. dev.to yazısı, incelenecek yerler olarak özel controller, form, içe aktarma, kuyruk (queue) yapıları ile bir sınıfı veya callback'i dinamik seçen katkı entegrasyonlarına işaret ediyor.

Kod yürütme şüphesinde yapılacak kontroller

Sömürü isteği kamuya açık olmadığından, önerilen inceleme yetkisiz kod yürütmenin sonuçlarına odaklanıyor. dev.to yazısı bakılacak beş şey listeliyor: Drupal kodunda, temalarında veya yapılandırmasında beklenmedik değişiklikler; eşleşen bir değişiklik kaydı olmayan yeni yönetici hesapları veya izin değişiklikleri; açıklanamayan zamanlanmış görevler, cron değişiklikleri veya web katmanından giden bağlantılar; web-shell göstergeleri ya da normal dağıtım yolunun dışında oluşturulmuş dosyalar; ve uygulama etkinliğiyle uyuşmayan veritabanı değişiklikleri. Yazar bunların genel soruşturma kontrolleri olduğunu açıkça belirtiyor; yani pozitif bir bulgu yine de korelasyon gerektiriyor ve negatif bir bulgu sitenin hiç hedeflenmediğini kanıtlamıyor.

Yeniden kurmadan önce kanıtı koruyun

İhlal şüphesi varsa, yazı remediation öncesinde uygulama, web sunucusu ve veritabanı günlüklerini, dağıtım kayıtlarını ve ilgili dosya sistemi metadata'sını korumayı, ayrıca önce Entity List sürümünü ve özel kod durumunu kaydetmeyi tavsiye ediyor. Kanıtı korumadan yeniden kurmak, yararlı izleri yok edebilir ve kapsam değerlendirmesini zorlaştırabilir. Resmi bülten yalnızca modül güncellemesini kapsıyor ve bir olay müdahalesi dizisi sunmuyor; bu yüzden kurumlar kendi içerme ve kanıt koruma politikalarına başvurmalı.

Önce yamalayın, sonra doğrulayın

Remediation adımının kendisi basit: Entity List'i 3.0.10'a yükseltin, düzeltilmiş paketi her runtime'a dağıtın ve fiilen aktif olan sürümü doğrulayın. dev.to yazısı ayrıca, dinamik sınıf veya callback seçimi zafiyeti erişilebilir kılan şey olduğundan, özel entegrasyonların sınıf seçimi çevresinde bir allowlist uygulamak üzere değiştirilip değiştirilmeyeceğinin gözden geçirilmesini öneriyor.

Tarama sayılarını doğru okumak

Etkilenme bağlamı için yazı, 8 Kasım 2026 tarihli ZoomEye sonuçlarını aktarıyor: Drupal uygulama filtresi için 435.185 eşleşme ve CVE filtresi için sıfır. Yazarın da belirttiği gibi, bu sayılar bir parmak izini ve bir CVE ilişkisini tanımlıyor; doğrulanmış savunmasız ya da ihlal edilmiş siteleri değil, dolayısıyla hiçbir sayı etki ölçüsü olarak okunmamalı.

Neden önemli

Bu bülten kolay bir düzeltmeyi zor bir soruşturmayla eşleştiriyor. Yamalama tek bir sürüm yükseltmesi, ancak bir sitenin saldırıya uğrayıp uğramadığını yanıtlamak imza kısayolu sunmuyor: sömürülebilirlik siteye özel koda bağlı, CVE'ye özgü göstergeler yok ve internet genelindeki tarama verileri şu an sinyal vermiyor. Bu da disiplinli temelleri — doğru envanter, dinamik sınıf seçiminin erişilebilirlik incelemesi, genel sömürtü-sonrası kontrolleri ve yeniden kurmadan önce kanıt koruma — tüm araç seti haline getiriyor. Modül sürümlerini ve özel kod durumunu önce kaydetmeden remediation yapan ekipler, kapsam değerlendirmesini sonradan çok daha zor bulacak; bu da bu CVE'nin sessiz operasyonel dersi.