Alertan sobre vulnerabilidades críticas en Drupal que permiten RCE

Introducción

Drupal, una de las plataformas de gestión de contenido más populares, ha emitido un aviso urgente sobre dos vulnerabilidades críticas que afectan a sus módulos esenciales. Estas vulnerabilidades permiten la ejecución remota de código (RCE), lo que puede poner en riesgo la seguridad de cientos de miles de sitios web que utilizan esta tecnología.

¿Qué sucedió?

El 19 de octubre de 2026, Drupal lanzó parches para cinco vulnerabilidades de seguridad, de las cuales dos fueron clasificadas como críticas. La primera, registrada como CVE-2026-108099, reside en el módulo Entity List, que permite a los usuarios crear listas de entidades sin utilizar Views. Esta vulnerabilidad, aunque no es explotable por sí sola, presenta caminos de explotación asociados con otros módulos contribuidos, algunos de los cuales no requieren autenticación. La segunda vulnerabilidad, identificada como CVE-2026-108097, afecta al módulo Field UI de Drupal core. Similar a la primera, requiere la presencia de módulos contribuidos para su explotación y podría ser muy peligrosa debido a su fácil acceso.

Impacto y Riesgo

Las vulnerabilidades RCE permiten a los atacantes ejecutar código malicioso en servidores comprometidos, lo que puede resultar en el robo de datos, desfiguración de sitios y pérdida de confianza por parte de los usuarios. Dado que al menos una de las rutas de explotación no requiere autenticación, el riesgo se incrementa considerablemente. Esto también podría significar que cualquier instalación de Drupal que utilice los módulos afectados está en peligro si no se toman medidas inmediatas.

Recomendaciones

• Actualizar a la versión 3.0.10 del módulo Entity List.
• Actualizar a las versiones 11.4.10, 11.3.19 o 10.6.19 de Drupal.
• Desinstalar el módulo core Field UI como medida de mitigación temporal hasta que se apliquen las actualizaciones.
• Revisar y asegurar otros módulos contribuidos que puedan interactuar con los vulnerables.

Conclusión

La seguridad de las aplicaciones web es una responsabilidad compartida. Con el aumento de las amenazas cibernéticas, es crucial estar al tanto de las actualizaciones de seguridad y actuar de manera proactiva. Los administradores de sitios Drupal deben aplicar estas recomendaciones sin demora para reforzar la seguridad de sus plataformas.