Drupal lanzará una actualización de seguridad crítica para todas sus ramas compatibles el 20 de mayo de 2026. Se recomienda a los administradores reservar tiempo para actualizar sus sitios inmediatamente y evitar posibles exploits. Aquellos que usen versiones obsoletas como Drupal 8 o 9 deben migrar a la versión 10.6, ya que los parches manuales no garantizan una solución completa.

Drupal ha emitido una alerta indicando que tiene la intención de lanzar un "lanzamiento de seguridad del núcleo" para todas las ramas compatibles el 20 de mayo de 2026, de 17:00 a 21:00 UTC.

"El Equipo de Seguridad de Drupal le insta a reservar tiempo para las actualizaciones del núcleo en ese momento, ya que los exploits podrían desarrollarse en cuestión de horas o días", afirmaron los mantenedores del sistema de gestión de contenidos (CMS) basado en PHP aquí.

"No todas las configuraciones se ven afectadas. Reserve tiempo el 20 de mayo durante la ventana de lanzamiento para determinar si sus sitios están afectados y necesitan una actualización inmediata. La información de mitigación se incluirá en el aviso".

Se recomienda actualizar al parche compatible más reciente para la versión de Drupal del sitio antes de la fecha límite, para que se puedan solucionar cualquier problema de actualización pendiente.

Se espera que los parches estén disponibles para las siguientes ramas compatibles del núcleo de Drupal:

•  11.3.x
•  11.2.x
•  10.6.x
•  10.5.x

"Los sitios en una de estas versiones compatibles deben actualizarse ahora al último parche de lanzamiento para la rama correspondiente como preparación para la ventana de seguridad", señaló Drupal.

La naturaleza exacta del problema de seguridad que se está abordando es desconocida en esta etapa, pero se espera que sea grave dado que Drupal proporcionará lanzamientos 11.1.x y 10.4.x para sitios que ejecuten versiones menores del núcleo que han llegado al final de su vida útil. Antes de la ventana de actualización planificada:

* Los sitios en Drupal 11.1 o 11.0 deben actualizarse al menos a Drupal 11.1.9.
* Los sitios en Drupal 10.4, 10.3, 10.2, 10.1 o 10.0 deben actualizarse al menos a Drupal 10.4.9.

La idea es que estos sitios apliquen la actualización de seguridad tan pronto como se lance el 20 de mayo, y luego actualicen a Drupal 11.3 o 10.6 en un futuro cercano.

Para los sitios que aún se encuentran en versiones principales del núcleo al final de su vida útil, como Drupal 8 y 9, los archivos de parches para Drupal 8.9 y 9.5 deberán aplicarse manualmente. Sin embargo, Drupal ha advertido que no hay garantía de que las correcciones funcionen correctamente, añadiendo que podrían introducir otros problemas o regresiones.

"No obstante, pueden ayudar a mitigar la vulnerabilidad para los sitios que aún utilizan estas versiones principales antiguas hasta que actualicen a una versión compatible", dijo Drupal.

"Recomendamos encarecidamente que los sitios de Drupal 8 o 9 se actualicen pronto al menos a Drupal 10.6. Drupal 8 y 9 incluyen numerosas otras vulnerabilidades de seguridad previamente reveladas que no serán abordadas ni por Drupal Steward ni por los archivos de parches de mejor esfuerzo".

Drupal también señaló que Drupal 7 no se ve afectado por este problema. Se aconseja a los sitios en cualquier versión de Drupal 9 actualizar a 9.5.11, y a aquellos en cualquier versión de Drupal 8 actualizar a Drupal 8.9.20.

Fuente:
THN