Drupal: Kritische Lücke im Kern erlaubt fremden Code über Field UI

Am 14. Oktober 2026 hat Drupal eine Lücke im Kern geschlossen, über die ein Angreifer eigenen Code auf dem Server ausführen kann. Drupal stuft sie als kritisch ein, mit 19 von 25 Punkten. Schon zwei Tage vorher hatte das Sicherheitsteam gewarnt, dass Angriffe innerhalb von Stunden oder Tagen nach der Veröffentlichung entstehen könnten.

Das Wichtigste in Kürze

• Die Lücke steckt im Modul Field UI, das zum Drupal-Kern gehört.
• Ausnutzbar ist sie über zusätzliche Module oder eigenen Code. Mindestens ein bekannter Weg braucht laut Drupal keinen Login.
• Sicher sind Drupal 10.6.19, 11.3.19 und 11.4.10.
• Drupal 10.5, 11.2 und älter bekommen kein Update mehr.

Was ist passiert?

Field UI ist der Teil von Drupal, mit dem du im Backend Felder für Inhalte anlegst. In diesem Modul steckt eine Lücke, über die sich eigener Code auf dem Server ausführen lässt. Fachleute nennen das Remote Code Execution.

Der Drupal-Kern allein ist laut Drupal nicht angreifbar. Der Angriff braucht ein zusätzliches Modul oder eigenen Code, der die Lücke erreichbar macht. Weil fast jede Drupal-Website solche Module hat, behandelt Drupal das Update trotzdem als kritisch. Am selben Tag hat Drupal eine zweite kritische Lücke im Modul Entity List geschlossen (SA-CONTRIB-2026-218).

Wird die Lücke schon ausgenutzt?

Laut Drupal gibt es bisher keinen öffentlichen Angriffscode, die Ausnutzung gilt als theoretisch. Das kann sich schnell ändern.

Bist du betroffen?

Ja, wenn deine Website auf Drupal 8.9 oder neuer läuft und noch nicht auf einer dieser Versionen ist: 10.6.19, 11.3.19 oder 11.4.10. Die Version siehst du im Backend unter Berichte, Statusbericht.

Läuft deine Website auf Drupal 10.5, 11.2 oder älter, gibt es für diese Versionen kein Update mehr. Dann musst du erst auf eine unterstützte Version.

Was du jetzt tun solltest

1. Drupal aktualisieren auf 10.6.19, 11.3.19 oder 11.4.10.
2. Wenn das nicht sofort geht: Laut Drupal hilft es, das Modul Field UI zu deinstallieren. Du brauchst es nur, um Felder anzulegen, nicht für den Betrieb der Website.
3. Gleich PHP prüfen. Seit dem 21. Oktober ist PHP2Shell bekannt, eine kritische Lücke in PHP selbst. Ein aktuelles Drupal schützt davor nicht.

Drupal 10 bekommt nur noch bis zum 9. Dezember 2026 Updates. Wenn du jetzt ohnehin aktualisierst, lohnt sich der Blick darauf, wie es danach weitergeht: Drupal 10 endet im Dezember.

Quellen

• Drupal: SA-CORE-2026-014, 14. Oktober 2026
• Drupal: PSA-2026-10-12, Vorankündigung
• Drupal: SA-CONTRIB-2026-218 (Entity List)