# CVE-2026-108097: ช่องโหว่ RCE ใน Drupal core ระดับ Critical เตือนโค้ดโจมตีอาจมาในไม่กี่วัน

> CVE-2026-108097 ช่องโหว่ RCE ระดับ Critical 19/25 ในโมดูล Field UI ของ Drupal core แก้แล้วใน 11.4.10, 11.3.19 และ 10.6.19 Drupal เตือนว่าโค้ดโจมตีอาจตามมาเร็ว

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-22T12:20:00.000Z · อัปเดต: 2026-10-22T12:20:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/drupal-core-cve-2026-108097-field-ui-rce/

## สรุปประเด็นสำคัญ

- Drupal ออกประกาศ **SA-CORE-2026-014** เมื่อ **14 ตุลาคม 2026** แก้ **CVE-2026-108097** ช่องโหว่รันโค้ดจากระยะไกลในโมดูล Field UI คะแนนความเสี่ยง **Critical 19/25** ตามระบบของ Drupal
- รุ่นที่แก้แล้วคือ **Drupal 11.4.10, 11.3.19 และ 10.6.19** ส่วน 11.2.x, 10.5.x และ Drupal 8–9 หมดอายุแล้ว ถ้ายังอัปเดตไม่ได้ Drupal ให้ถอนการติดตั้งโมดูล field_ui ไว้ก่อน
- ช่องโหว่ใช้กับ core เพียงอย่างเดียวไม่ได้ แต่มีหลายเส้นทางผ่านโมดูลเสริม และอย่างน้อย **1 เส้นทางไม่ต้องล็อกอิน** วันเดียวกัน Drupal แก้ **CVE-2026-108099** ในโมดูล Entity List (19/25) ด้วย
- ประกาศล่วงหน้า PSA-2026-10-12 เตือนว่าโค้ดโจมตี**อาจถูกพัฒนาขึ้นภายในไม่กี่ชั่วโมงหรือไม่กี่วัน** ส่วนวันที่ **21 ตุลาคม** Drupal ออกประกาศโมดูลเสริมอีก **34 รายการ** และ PSA ให้เร่งอัปเดต PHP

ทีมความปลอดภัยของ Drupal ออกประกาศ SA-CORE-2026-014 เมื่อวันที่ 14 ตุลาคม 2026 แก้ช่องโหว่ CVE-2026-108097 ที่เปิดทางให้รันโค้ดจากระยะไกลผ่านโมดูล Field UI ของ Drupal core คะแนนความเสี่ยง Critical 19 จาก 25 ผู้ดูแลเว็บต้องอัปเดตเป็น Drupal 11.4.10, 11.3.19 หรือ 10.6.19 และทีม Drupal เตือนไว้ล่วงหน้าว่าโค้ดโจมตีอาจถูกพัฒนาขึ้นภายในไม่กี่ชั่วโมงหรือไม่กี่วัน

หนึ่งสัปดาห์ต่อมา วันที่ 21 ตุลาคม ทีมเดียวกันประกาศช่องโหว่ในโมดูลเสริม (contributed module) อีก 34 รายการ รวมช่องโหว่รันโค้ดระดับ Highly critical และออกประกาศ PSA ให้เว็บ Drupal เร่งอัปเดต PHP จากช่องโหว่ PHP2Shell ซึ่งเป็นคนละเรื่องกับ CVE-2026-108097 แต่กระทบเว็บกลุ่มเดียวกัน

## CVE-2026-108097 ทำงานอย่างไรและร้ายแรงแค่ไหน

ประกาศ SA-CORE-2026-014 ระบุว่าช่องโหว่อยู่ในโมดูล Field UI ของ Drupal core ตัวช่องโหว่ใช้โจมตีจาก core เพียงอย่างเดียวไม่ได้ แต่มีเส้นทางโจมตีร้ายแรงหลายทางเมื่อเว็บติดตั้งโมดูลเสริมบางตัว และอย่างน้อยหนึ่งเส้นทางที่รู้แล้วไม่ต้องล็อกอิน โค้ดที่เว็บเขียนเองก็อาจเปิดส่วนที่มีช่องโหว่ออกมาได้เช่นกัน ประกาศไม่ได้บอกว่าโมดูลเสริมตัวใดเป็นเส้นทางโจมตี

Drupal ใช้ระบบคะแนนความเสี่ยงของตัวเองเต็ม 25 ช่วง 15–19 คือ Critical และ 20–25 คือ Highly critical CVE-2026-108097 ได้ 19 คะแนนจากองค์ประกอบดังนี้

| องค์ประกอบ | ค่าใน SA-CORE-2026-014 | ความหมายตามนิยามของ Drupal |
| --- | --- | --- |
| Access complexity (AC) | Basic | ทำได้ตามขั้นตอนปกติ ผู้โจมตีทำตามเส้นทางเฉพาะ |
| Authentication (A) | None | ผู้ใช้ทุกคนรวมผู้ไม่ล็อกอิน |
| Confidentiality impact (CI) | All | เข้าถึงข้อมูลที่ไม่เปิดเผยได้ทั้งหมด |
| Integrity impact (II) | All | แก้ไขหรือลบข้อมูลได้ทั้งหมด |
| Exploit (E) | Theoretical | ยังเป็นทางทฤษฎีหรือ white-hat |
| Target distribution (TD) | Default | คอนฟิกปกติหรือที่ใช้กันทั่วไปถูกโจมตีได้ |

ค่า E: Theoretical ตามนิยามของ Drupal คือ ณ วันประกาศ การโจมตียังอยู่ในระดับทฤษฎีหรือการทดสอบแบบ white-hat และ ณ แค็ตตาล็อก KEV ของ CISA วันที่ 21 ตุลาคม 2026 ยังไม่มี CVE-2026-108097 อยู่ในรายการช่องโหว่ที่ถูกโจมตีจริง ผู้รายงานคือ Drew Webber จากทีมความปลอดภัยของ Drupal และ Octavio Galland

## รุ่นที่ได้รับผลกระทบและรุ่นที่ต้องอัปเดต

| สายของ Drupal | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้แล้ว |
| --- | --- | --- |
| 11.4.x | 11.4.0 ถึงก่อน 11.4.10 | 11.4.10 |
| 11.3.x | 11.0.0 ถึงก่อน 11.3.19 | 11.3.19 |
| 10.6.x | 8.9.0 ถึงก่อน 10.6.19 | 10.6.19 |
| 12.0 (รุ่นทดสอบ) | 12.0.0-alpha1 ถึงก่อน 12.0.0-beta2 | 12.0.0-beta2 |
| 11.2.x, 10.5.x และเก่ากว่า, Drupal 8 และ 9 | ได้รับผลกระทบ | หมดอายุแล้ว ไม่มีแพตช์ |

ถ้ายังอัปเดตไม่ได้ Drupal ระบุว่าการถอนการติดตั้งโมดูล Field UI (`field_ui`) ของ core ช่วยป้องกันได้ระหว่างรออัปเดต เว็บที่ใช้บริการ Drupal Steward ได้รับการป้องกันจากบางเส้นทางการโจมตีที่รู้แล้ว แต่ Drupal ย้ำว่าการป้องกันนี้ไม่ครอบคลุมทุกเส้นทาง และควรอัปเดตในเวลาอันใกล้ เผื่อมีการค้นพบเส้นทางใหม่

## ช่องโหว่ Drupal ที่ออกพร้อมกันและตามมา

วันเดียวกับ SA-CORE-2026-014 Drupal ออก SA-CONTRIB-2026-218 แก้ CVE-2026-108099 ในโมดูล Entity List (โมดูลเสริมสำหรับสร้างรายการเนื้อหาโดยไม่ใช้ Views) ได้คะแนน Critical 19/25 เท่ากัน ลักษณะคล้ายกันคือใช้กับโมดูลตัวเดียวไม่ได้ แต่มีหลายเส้นทางผ่านโมดูลเสริมอื่น และอย่างน้อยหนึ่งเส้นทางไม่ต้องล็อกอิน รุ่นที่แก้แล้วคือ Entity List 3.0.10

วันที่ 21 ตุลาคม Drupal ออกประกาศ SA-CONTRIB-2026-220 ถึง 253 รวม 34 รายการ ที่ควรเช็กก่อนคือ

- **Ffmpeg Image Toolkit** (SA-CONTRIB-2026-220, CVE-2026-114523) ระดับ Highly critical 20/25 ไม่กรองชื่อไฟล์ที่ส่งให้คำสั่ง ffmpeg จนรันโค้ดได้ ผู้โจมตีต้องอัปโหลดภาพบนเว็บได้ แก้ใน 1.0.3
- **Custom Formatters** (SA-CONTRIB-2026-225, CVE-2026-114524) ระดับ Critical 17/25 เอนจิน PHP formatter รันโค้ด PHP ที่ผู้ใช้ป้อนผ่าน eval() โดยหน้าสิทธิ์ไม่บอกพฤติกรรมนี้ แก้ใน 4.2.1
- **Monster Menus** (SA-CONTRIB-2026-253, CVE-2026-114573) ระดับ Critical 16/25 PHP object injection ในโมดูลย่อย RSS Page ต้องเปิดโมดูลย่อยนี้และผู้โจมตีต้องมีสิทธิ์สร้างเนื้อหา RSS Feed แก้ใน 9.5.6

ประกาศรอบนี้ยังมีช่องโหว่ระดับ Critical อีก 5 รายการ ได้แก่ cross-site scripting ใน ABC, Black Hole, Zero Point และ UI Icons กับการเปิดเผยข้อมูลใน Dopup

![คะแนนความเสี่ยงของช่องโหว่ Drupal ที่เป็น RCE หรือ object injection ระหว่าง 14–21 ตุลาคม 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/drupal-core-cve-2026-108097-field-ui-rce/drupal-october-2026-risk-scores.webp?v=9e10ccfc) _(ภาพ: THAI DATA (ข้อมูล: Drupal Security Team))_

## ทำไมเรื่องนี้สำคัญ

ประกาศล่วงหน้า PSA-2026-10-12 ที่ออกสองวันก่อนแพตช์ขอให้ผู้ดูแลกันเวลาไว้อัปเดต เพราะ "โค้ดโจมตีอาจถูกพัฒนาขึ้นภายในไม่กี่ชั่วโมงหรือไม่กี่วัน" ช่องโหว่ใน Drupal core ถูกนำไปโจมตีจริงมาแล้วในปีนี้ โดย CISA เพิ่ม CVE-2026-9082 ช่องโหว่ SQL injection ใน Drupal core (SA-CORE-2026-004) เข้า KEV เมื่อ 22 พฤษภาคม 2026 และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 27 พฤษภาคม

อีกประเด็นคือเว็บ Drupal ต้องดูแลสองชั้น วันที่ 21 ตุลาคม ทีม Drupal ออก PSA-2026-10-20 เตือนเรื่องแพตช์ PHP ระดับวิกฤตและระบุว่าการอัปเดต PHP เป็นทางแก้ที่ครบเพียงทางเดียว พร้อมย้ำนโยบายว่าเจ้าของเว็บต้องดูแลส่วนที่ไม่ใช่ Drupal เอง ส่วนทีมวิจัยที่ค้นพบ PHP2Shell (Wiz, OpenAI และ Calif) ระบุว่าสาธิตการรันโค้ดได้กับ WordPress, Drupal และ Joomla โดยใช้ container image รุ่นล่าสุดขณะทดสอบ แปลว่าอัปเดต Drupal แล้วแต่ PHP ยังเก่า เว็บก็ยังเสี่ยง (ขั้นตอนอัปเดต PHP อ่านได้ใน[คู่มือแพตช์ PHP2Shell](/security/php2shell-patch-guide-check-php-version/))

![หน้า PHP2Shell ของทีมวิจัยระบุว่าสาธิตการรันโค้ดจากระยะไกลกับ WordPress, Drupal และ Joomla รุ่นล่าสุดขณะทดสอบ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/drupal-core-cve-2026-108097-field-ui-rce/php2shell-site-drupal-demonstration.webp?v=9cbeb15f) _(ภาพ: PHP2Shell.com (ภาพหน้าจอ))_

## สิ่งที่องค์กรไทยควรทำ

- **อัปเดต Drupal core** เป็น 11.4.10, 11.3.19 หรือ 10.6.19 ตามสายที่ใช้ เพื่อปิด CVE-2026-108097 ถ้าทำไม่ได้ทันที ให้ถอนการติดตั้ง `field_ui` ก่อน แล้วค่อยติดตั้งกลับหลังอัปเดต
- **ย้ายเว็บที่ยังอยู่บน Drupal 8, 9, 10.5 หรือ 11.2** ไปสายที่ยังรองรับ เพราะรุ่นเหล่านี้ไม่ได้แพตช์ CVE-2026-108097 และช่องโหว่ใหม่อื่น ๆ
- **ไล่รายการโมดูลเสริมที่ติดตั้ง** เทียบกับประกาศวันที่ 14 และ 21 ตุลาคม โดยเฉพาะ Entity List, Ffmpeg Image Toolkit, Custom Formatters และ Monster Menus แล้วอัปเดตหรือปิดโมดูลที่ไม่ใช้
- **อัปเดต PHP ของเซิร์ฟเวอร์ด้วย** ตาม PSA-2026-10-20 เพราะแพตช์ Drupal ไม่ได้ปิดช่องโหว่ PHP2Shell และถ้าเว็บฝากไว้กับผู้ให้บริการ ให้ถามว่าแพตช์ PHP แล้วหรือยัง
- **ตรวจ log และรายชื่อผู้ดูแลเว็บย้อนหลังตั้งแต่ 14 ตุลาคม** หาบัญชีหรือการเปลี่ยนแปลงที่ไม่รู้จัก เพราะประกาศของ Drupal ไม่ได้ให้ตัวบ่งชี้การโจมตี (IoC) มา ติดตามข่าวช่องโหว่อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-108097 คืออะไร?

CVE-2026-108097 คือช่องโหว่รันโค้ดจากระยะไกล (remote code execution) ในโมดูล Field UI ของ Drupal core ประกาศใน SA-CORE-2026-014 เมื่อ 14 ตุลาคม 2026 ได้คะแนนความเสี่ยง Critical 19 จาก 25 ตามระบบของ Drupal ช่องโหว่ใช้กับ core เพียงอย่างเดียวไม่ได้ แต่มีหลายเส้นทางผ่านโมดูลเสริม และอย่างน้อยหนึ่งเส้นทางไม่ต้องล็อกอิน

### Drupal รุ่นใดได้รับผลกระทบจาก CVE-2026-108097 และต้องอัปเดตเป็นรุ่นใด?

CVE-2026-108097 กระทบ Drupal ตั้งแต่ 8.9.0 จนถึงก่อน 10.6.19, สาย 11.0 ถึงก่อน 11.3.19, สาย 11.4 ก่อน 11.4.10 และ 12.0.0-alpha1 ถึงก่อน 12.0.0-beta2 ผู้ใช้ 11.4.x ต้องอัปเดตเป็น 11.4.10 ผู้ใช้ 11.3.x เป็น 11.3.19 และผู้ใช้ 10.6.x เป็น 10.6.19 รุ่นที่เก่ากว่านั้นหมดอายุแล้วและต้องย้ายไปสายที่ยังรองรับ

### ถ้ายังอัปเดต Drupal ไม่ได้ ลดความเสี่ยงจาก CVE-2026-108097 อย่างไร?

ประกาศ SA-CORE-2026-014 ระบุว่าการถอนการติดตั้งโมดูล Field UI (field_ui) ของ core ช่วยป้องกัน CVE-2026-108097 ระหว่างรออัปเดต เว็บที่ใช้บริการ Drupal Steward ได้รับการป้องกันจากบางเส้นทางการโจมตีที่รู้แล้ว แต่ไม่ครอบคลุมทุกเส้นทาง จึงยังต้องอัปเดต

### CVE-2026-108097 เกี่ยวกับช่องโหว่ PHP2Shell หรือไม่?

เป็นคนละเรื่องกัน CVE-2026-108097 อยู่ในโค้ดของ Drupal และแก้ด้วยการอัปเดต Drupal ส่วน PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) อยู่ในตัว PHP ทีม Drupal ออก PSA-2026-10-20 แยกต่างหาก ระบุว่าการอัปเดต PHP เป็นทางแก้ที่ครบเพียงทางเดียว เว็บ Drupal จึงต้องอัปเดตทั้งสองอย่าง


## แหล่งอ้างอิง

- [Drupal core - Critical - Remote code execution - SA-CORE-2026-014](https://www.drupal.org/sa-core-2026-014) — Drupal Security Team
- [Upcoming critical Drupal core release on October 14, 2026 - PSA-2026-10-12](https://www.drupal.org/psa-2026-10-12) — Drupal Security Team
- [Entity List - Critical - Remote code execution - SA-CONTRIB-2026-218](https://www.drupal.org/sa-contrib-2026-218) — Drupal Security Team
- [Critical PHP update on Wednesday, October 21, 2026 (14:00 UTC) - PSA-2026-10-20](https://www.drupal.org/psa-2026-10-20) — Drupal Security Team
- [Security risk levels defined](https://www.drupal.org/drupal-security-team/security-risk-levels-defined) — Drupal Security Team