Drupal patches critical RCE flaws, warns exploits may emerge soon
BleepingComputer · 17 oct, 16:32
Drupal ha parcheado dos vulnerabilidades críticas de ejecución remota de código que afectan a todas las versiones soportadas del sistema de gestión de contenidos: CVE-2026-108097 en el módulo Field UI del núcleo y CVE-2026-108099 en el módulo Entity List. El equipo de seguridad de Drupal advierte que podrían desarrollarse exploits en horas o días tras la divulgación, y urge a los administradores a actualizar antes del 14 de octubre. Más de un millón de sitios web ejecutan Drupal, particularmente en organismos gubernamentales, universidades y organizaciones sin ánimo de lucro.
Ambas vulnerabilidades afectan a todos los usuarios de Drupal actualmente soportados. CVE-2026-108097 en el módulo Field UI del núcleo requiere interacción con módulos contribuidos o código personalizado para ser explotada, pero existe al menos una ruta de explotación que no requiere autenticación. CVE-2026-108099 en Entity List presenta requisitos similares e incluye una ruta de explotación conocida sin autenticación.
Los administradores deben actualizar Drupal core a versión 10.6.19, 11.3.19 o 11.4.10 según su rama de lanzamiento, y Entity List a 3.0.10. Como medida de mitigación, aquellos que no puedan actualizar pueden desinstalar el módulo field_ui del núcleo de Drupal. Las versiones anteriores a 10.6.x y las versiones de Drupal 11 anteriores a 11.3.x ya no reciben soporte.
Puntos clave
- Actualiza Drupal core a 10.6.19, 11.3.19 o 11.4.10 según tu versión
- Actualiza Entity List a 3.0.10
- Desinstala el módulo field_ui como medida de mitigación temporal
- Ambas vulnerabilidades no requieren autenticación en al menos una ruta de explotación
- Versiones anteriores a 10.6.x y Drupal 11 anteriores a 11.3.x ya no tienen soporte