Drupal corrige una falla crítica en Field UI que permite ejecución remota de código
El núcleo de Drupal contiene una vulnerabilidad crítica en su módulo Field UI que podría permitir a un atacante ejecutar código en el servidor del sitio. Los parches se publicaron el 14 de octubre en Drupal 11.4.10, 11.3.19 y 10.6.19.
Según el equipo de seguridad de Drupal, un atacante no puede explotar la falla únicamente a través del núcleo. Existen varias rutas de explotación mediante módulos contribuidos, y al menos una ruta conocida no requiere inicio de sesión.
Registrada como CVE-2026-108097, la vulnerabilidad se encuentra en Field UI, el módulo del núcleo que gestiona las páginas de administración donde los constructores de sitios administran los campos y su visualización. Drupal la califica con 19 sobre 25 en su escala de riesgo, el nivel que el proyecto denomina crítico.
El aviso no especifica qué módulos contribuidos abren una ruta a la falla, y el código personalizado también podría exponerla. Drew Webber del equipo de seguridad y Octavio Galland son acreditados por reportarla.
Qué hacer ahora
La versión corregida para cada rama soportada:
- Drupal 11.4.x: actualizar a 11.4.10
- Drupal 11.3.x: actualizar a 11.3.19
- Drupal 10.6.x: actualizar a 10.6.19
- Drupal 12.0.0 beta: 12.0.0-beta2, que no es para uso en producción
- Sin corrección: Drupal 11.2.x y anteriores, 10.5.x y anteriores, y Drupal 8 y 9, todos ellos al final de su vida útil
Tanto 11.3.x como 10.6.x pierden cobertura de seguridad en diciembre de 2026.
En la semana que comenzó el 4 de octubre, 151.442 de los 531.499 sitios que reportaron su versión del núcleo de Drupal a drupal.org (28,5%) estaban en una rama que el aviso enumera como afectada y que no recibió corrección.
Un sitio que no pueda actualizar todavía puede desinstalar el módulo Field UI, field_ui, lo que "proporcionará protección mientras se actualizan los sitios", según el aviso. Las páginas de administración para gestionar campos y su visualización no estarán disponibles mientras el módulo esté desinstalado.
Field UI se instala con el perfil de instalación estándar de Drupal, por lo que un sitio creado con ese perfil tiene el módulo a menos que alguien lo haya eliminado.
Drupal Steward, un servicio de firewall de aplicaciones web con reglas escritas por el equipo de seguridad, ya bloquea algunos vectores de ataque conocidos para esta falla. Acquia, Pantheon, Ironstar y Skpr lo ejecutan para sus clientes. No cubre todos los posibles exploits, y esos sitios aún deben actualizarse, según el aviso.
El aviso calificó la falla como sin código de explotación disponible públicamente en el momento de su publicación. Hasta el 15 de octubre, no había surgido ninguno, y ni el aviso ni los informes públicos describían ataques que la utilizaran.
El equipo de seguridad había preanunciado el lanzamiento el 12 de octubre y dijo a los sitios que reservaran tiempo para ello "porque los exploits podrían desarrollarse en horas o días".
En mayo, Drupal reportó intentos de explotación dentro de los dos días posteriores a su aviso sobre una falla de inyección SQL en el núcleo que solo afectaba a sitios en PostgreSQL, y CISA agregó esa falla a su catálogo de vulnerabilidades explotadas.
Qué cambió la corrección
Field UI construye sus tablas de administración a partir de matrices de renderizado, los arreglos PHP que Drupal convierte en HTML. Antes de la corrección, el paso de pre-renderizado del elemento de tabla ejecutaba cualquier llamada de PHP que cada fila de la tabla llevara en su propiedad #region_callback, a través de call_user_func_array, sin verificar qué era esa llamada.
El renderizador de Drupal se ha negado a ejecutar devoluciones de llamada de renderizado no confiables desde la versión 8.8 en 2019, una restricción añadida después de que avisos anteriores mostraran que el sistema de renderizado podía llamar con demasiada facilidad a devoluciones de llamada arbitrarias. El renderizador confía en los métodos del propio elemento de tabla, por lo que ejecutó el paso de pre-renderizado, y la verificación nunca llegó a la devolución de llamada que ese paso ejecutaba después.
El código de 11.4.10 ya no llama a la devolución de llamada. Lee la región de cada fila desde el propio valor de región de la fila y utiliza la región oculta de la tabla, o su primera región, cuando ese valor no es una región conocida. La misma llamada había estado en el código desde al menos Drupal 8.9.0 en 2020.
En el núcleo, la devolución de llamada solo la establecen los propios formularios de visualización de Field UI. El código personalizado que establecía #region_callback en una fila de field_ui_table ya no lo ejecutará después de la actualización. Pantheon recomienda a los sitios revisar dicho código y probar las páginas de administración de campos y visualización después de actualizar.
Por separado, el módulo Entity List recibió su propio aviso crítico de ejecución remota de código, CVE-2026-108099, con las mismas condiciones, incluida una ruta conocida que no requiere inicio de sesión. Su nota de la versión 3.0.10 dice que la corrección refleja el cambio de Field UI, y actualizar el núcleo no actualiza el módulo. En la semana que comenzó el 4 de octubre, 90 sitios reportaron usarlo.
Las mismas versiones del núcleo también corrigen dos fallas de cross-site scripting moderadamente críticas, en el módulo Link (CVE-2026-108515) y el módulo Navigation (CVE-2026-108514), ambas requieren al menos un usuario autenticado.
Drupal 7 alcanzó el final de su vida útil en drupal.org en enero de 2025, pero Pantheon dice que su soporte a largo plazo de Drupal 7 con Tag1 Consulting ha lanzado Drupal 7.107 con una adaptación de la corrección.
Deja una respuesta