Разработчики Drupal выпустили исправления двух критических уязвимостей, допускающих удалённое выполнение кода на сервере. Оба бага затрагивают веб-приложения на этой CMS и требуют срочной установки обновлений.

Первая уязвимость находится в модуле Field UI, входящем в ядро Drupal. Вторая — в стороннем модуле Entity List, который поддерживается отдельно от основного проекта.

Для каждой из уязвимостей известен как минимум один метод эксплуатации, причём аутентификация атакующему не требуется. Это существенно повышает риск, поскольку злоумышленник может использовать баг удалённо без учётной записи.

Разработчики предупреждают, что публичные эксплоиты могут появиться в ближайшее время. Обычно после раскрытия информации о подобных багах у атакующих уходят считанные дни на создание рабочих инструментов.

Администраторам сайтов на Drupal рекомендуется как можно быстрее обновить ядро и модуль Entity List до исправленных версий. Промедление с патчем в таких случаях практически гарантирует компрометацию незащищённых инсталляций.