Drupal은 최근 모든 지원 버전에서 원격 코드 실행이 가능한 2건의 심각한 취약점을 패치하였다. 이번 보안 이슈는 소프트웨어 코어의 Field UI 모듈과 기여 모듈인 Entity List에 영향을 미치며, Drupal 보안팀은 취약점 공개 직후 공격자들이 빠르게 익스플로잇을 개발할 수 있으므로 관리자는 즉시 업데이트를 적용할 것을 강력히 권고하였다. Drupal은 전 세계적으로 100만 개 이상의 웹사이트에서 사용되고 있으며, 특히 정부 기관, 대학, 비영리 단체에서 인기가 높다.
이번에 공개된 취약점은 CVE-2026-108097(Field UI 모듈)과 CVE-2026-108099(Entity List 모듈)로, 둘 다 기여 모듈이나 커스텀 코드와의 조합에서 인증 없이도 원격 코드 실행이 가능하다. Drupal 코어만으로는 취약점이 바로 악용되지는 않지만, 다양한 경로로 익스플로잇이 가능하며, 관리자는 Drupal 코어를 10.6.19, 11.3.19, 11.4.10 버전 중 해당 브랜치에 맞게 업데이트하고, Entity List 모듈은 3.0.10으로 업데이트해야 한다.
업데이트가 불가능한 경우에는 Field UI 모듈(field_ui)을 제거하는 것이 효과적인 임시 조치로 제시되었다. 또한, Drupal Steward 서비스는 일부 알려진 공격 벡터를 차단하지만 모든 익스플로잇을 막을 수는 없으므로, 신속한 패치 적용이 최선의 대응책임을 강조하였다.
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.