Drupal Patches Critical Core RCE Flaw with No-Login Path via Contributed Modules
The Hacker News · 15 oct, 14:07
Drupal ha parched una vulnerabilidad crítica de RCE en el módulo Field UI (CVE-2026-108097) que permite ejecución remota de código sin autenticación a través de módulos contribuidos. Se han publicado parches en Drupal 11.4.10, 11.3.19 y 10.6.19 el 14 de octubre; el 28,5% de los sitios reportados ejecutan versiones sin soporte que no reciben corrección.
El defecto reside en el módulo Field UI del núcleo de Drupal, que gestiona las páginas de administración para campos y visualización. Antes de la corrección, la etapa pre-render de los elementos de tabla ejecutaba cualquier callable PHP especificado en la propiedad #region_callback sin validación. El renderer de Drupal ha rechazado callbacks render no confiables desde la versión 8.8 (2019), pero esta verificación no alcanzaba al callable ejecutado en el paso pre-render de la tabla. La versión 11.4.10 elimina la ejecución del callback, leyendo el valor region de la propia fila.
El equipo de seguridad califica el defecto como nivel 19 de 25 en su escala de riesgo (crítico). En la semana del 4 de octubre, 151.442 de 531.499 sitios (28,5%) ejecutaban ramas afectadas sin parche disponible. El servicio Drupal Steward (un WAF del equipo de seguridad usado por Acquia, Pantheon, Ironstar y Skpr) bloquea algunos vectores conocidos, pero no es protección completa. El equipo prenotificó el lanzamiento y advirtió que podían desarrollarse exploits en horas o días. El módulo Entity List (CVE-2026-108099) sufrió una vulnerabilidad paralela con la misma naturaleza.
Puntos clave
- Actualiza Drupal 11.4.x a 11.4.10, 11.3.x a 11.3.19, 10.6.x a 10.6.19; versiones 11.2 y anteriores, 10.5 y anteriores, y Drupal 8-9 no tienen parche y están sin soporte
- Al menos una ruta de explotación requiere cero autenticación a través de módulos contribuidos
- Como mitigación temporal, desinstala el módulo Field UI (field_ui), aunque esto desactiva las páginas de administración de campos
- No hay exploit público reportado ni ataques en curso al 15 de octubre, pero el equipo advierte que pueden aparecer en horas o días
- Entity List 3.0.10 también parcha una RCE crítica paralela (CVE-2026-108099)