Drupal ha corregido dos vulnerabilidades críticas que podrían permitir a los atacantes ejecutar código de forma remota en sitios web que utilicen cualquier versión compatible del sistema de gestión de contenidos. Los fallos afectan al módulo Field UI del núcleo del software y al módulo contribuido Entity List.
A principios de semana, el equipo de seguridad de Drupal emitió una advertencia anticipada en la que instaba a los administradores a reservar tiempo para aplicar las actualizaciones, ya que los atacantes podrían desarrollar exploits pocas horas o días después de la divulgación. Recomendaron actualizar a la última versión de parche compatible antes del 14 de octubre para resolver cualquier otro problema de actualización antes de la ventana de seguridad.
Drupal es un sistema de gestión de contenidos gratuito y de código abierto utilizado para crear y administrar sitios web, especialmente popular entre agencias gubernamentales, universidades y organizaciones sin ánimo de lucro. Según el sitio web del proyecto, más de un millón de sitios web funcionan con Drupal.
Las dos vulnerabilidades divulgadas esta semana afectan a todas las versiones actualmente soportadas del núcleo de Drupal:
- CVE-2026-108097: vulnerabilidad de ejecución remota de código en el módulo Field UI del núcleo de Drupal que podría permitir a los atacantes ejecutar código arbitrario en los servidores afectados.
- CVE-2026-108099: fallo en Entity List, un módulo contribuido para crear listas de entidades sin Views, que podría permitir la ejecución remota de código.
El aviso de seguridad para CVE-2026-108097 señala que el fallo no puede explotarse utilizando únicamente el núcleo de Drupal, pero los módulos contribuidos pueden proporcionar múltiples vías de explotación, incluida al menos una que no requiere autenticación. Además, el código personalizado también puede exponer la funcionalidad vulnerable.
La explotación exitosa de CVE-2026-108099 requiere una interacción similar con módulos contribuidos o código personalizado e incluye al menos una ruta de explotación conocida que no requiere autenticación.
Se insta a los administradores a actualizar el núcleo de Drupal a la versión 10.6.19, 11.3.19 o 11.4.10, según su rama de lanzamiento, y a actualizar Entity List a la versión 3.0.10.
Todas las versiones de Drupal anteriores a 10.6.x, así como todas las versiones de Drupal 11 anteriores a 11.3.x, han llegado al final de su vida útil y ya no reciben soporte.
Los fallos también afectan a las versiones preliminares de Drupal 12 anteriores a la beta2, aunque estas no están destinadas a entornos de producción. La versión estable final 12.0 incluirá correcciones para ambos fallos.
A los administradores que no puedan actualizar a una versión segura se les recomienda desinstalar el módulo Field UI (field_ui) del núcleo de Drupal como medida de mitigación eficaz. Además, Drupal Steward protege contra algunos vectores de ataque conocidos, pero no cubre todos los exploits posibles.
Deja una respuesta