ALERTA: Vulnerabilidad Crítica de Inyección SQL en Drupal Core (SA-CORE-2026-004)

El equipo de seguridad de Drupal ha emitido un aviso urgente sobre una falla de inyección SQL localizada en la API de abstracción de la base de datos. Este error permite que atacantes ejecuten comandos arbitrarios, lo que podría derivar en la exposición de datos confidenciales, el robo de privilegios o la ejecución remota de código.

Análisis de Riesgo y Alcance

Aunque el riesgo es extremo, la vulnerabilidad de SQL Injection afecta específicamente a los sitios que utilizan PostgreSQL. Los usuarios de MySQL o MariaDB no están expuestos a este vector concreto.

No obstante, es obligatorio que todas las instalaciones actualicen su sistema, ya que la nueva versión incluye parches críticos para Symfony y Twig, componentes que afectan a cualquier configuración independientemente de la base de datos utilizada.

Versiones Seguras

Se recomienda actualizar inmediatamente a las siguientes versiones:

• Drupal 11.3.x → 11.3.10
• Drupal 11.2.x → 11.2.12
• Drupal 10.6.x → 10.6.9
• Drupal 10.5.x → 10.5.10

Para versiones en fin de vida (EOL) como Drupal 8, 9 o 10.4, se debe aplicar el parche manual y migrar a una versión soportada lo antes posible.

Plan de Acción Inmediata

1. Actualización prioritaria: Ejecutar composer update drupal/core para instalar la versión segura.
2. Auditoría de permisos: Revisar qué roles de usuario tienen capacidad para editar plantillas Twig.
3. Celeridad: Debido a antecedentes como el "Drupalgeddon", se debe tratar este proceso como una emergencia operativa y no como un mantenimiento rutinario.