Drupal ha lanzado actualizaciones de seguridad para una vulnerabilidad crítica de ejecución remota de código que podría permitir que los atacantes tomen el control de los sitios web afectados sin necesidad de iniciar sesión.

Identificada como CVE-2026-108097, el fallo afecta al módulo Field UI en el núcleo de Drupal. El Equipo de Seguridad de Drupal publicó su advertencia el 14 de octubre de 2026.

El aviso de seguridad oficial, SA-CORE-2026-014, asigna al problema una puntuación de riesgo de 19 sobre 25 según el sistema de calificación de Drupal. Una explotación exitosa podría exponer todos los datos privados del sitio web y permitir que los atacantes cambien o eliminen información. Esta puntuación no es una calificación CVSS.

El detalle más importante es que el núcleo de Drupal por sí solo no proporciona una ruta directa para explotar el fallo. Sin embargo, el equipo de seguridad confirmó que existen varias rutas de ataque graves cuando hay módulos contribuidos presentes. Estos son módulos adicionales que se utilizan para ampliar las funciones de un sitio web más allá de sus funciones principales.

Al menos una ruta de ataque conocida no requiere autenticación, lo que significa que un atacante no necesitaría una cuenta válida. El código personalizado del sitio web también puede exponer la funcionalidad vulnerable. Debes considerar las extensiones instaladas y el desarrollo personalizado, en lugar de juzgar la exposición basándote únicamente en la versión de Drupal.

Vulnerabilidad Crítica de RCE en Drupal

El aviso público no nombra los módulos contribuidos implicados ni proporciona un exploit funcional. Su calificación describe la explotación como teórica, sin código de exploit público ni documentación de desarrollo. No debes confundir esa redacción con una prueba de seguridad, dadas las rutas de ataque confirmadas descritas por el equipo de seguridad.

Este problema sigue a preocupaciones anteriores sobre la seguridad de Drupal, incluida la cobertura de una vulnerabilidad de inyección SQL en el núcleo de Drupal. Ese informe se refiere a un fallo distinto.

El estado de explotación de aquel caso no debe aplicarse a esta vulnerabilidad de Field UI, para la cual el aviso actual no informa de ataques activos.

Los rangos afectados cubren versiones de Drupal desde la 8.9.0 hasta antes de la 10.6.19, la 11.0.0 hasta antes de la 11.3.19, y la 11.4.0 hasta antes de la 11.4.10. Las versiones de desarrollo de Drupal 12 desde la 12.0.0-alpha1 hasta antes de la 12.0.0-beta2 también están afectadas.

La amplia cobertura de versiones hace que sea importante que revises cada sitio desplegado, especialmente si tu organización mantiene varias instalaciones de Drupal.

Si administras Drupal 11.4.x, debes instalar Drupal 11.4.10. Quienes usen Drupal 11.3.x deben pasar a la 11.3.19, mientras que los usuarios de Drupal 10.6.x deben instalar la 10.6.19. Drupal 11.2.x y anteriores, Drupal 10.5.x y anteriores, y Drupal 8 y 9 ya no reciben cobertura de seguridad.

Drupal indica que desinstalar el módulo Field UI del núcleo (field_ui) protege los sitios mientras se actualizan. Drupal Steward también bloquea algunas rutas de ataque conocidas, pero no cubre todos los exploits posibles. Si usas ese servicio, sigues necesitando actualizar en lugar de tratar el filtrado como una solución permanente.

Para los equipos que revisen un posible compromiso, la guía sobre detección e investigación de webshells ofrece un trasfondo útil sobre scripts maliciosos que permiten comandos remotos. La prioridad inmediata para esta vulnerabilidad sigue siendo clara.

Aplica la versión de seguridad compatible, o desinstala Field UI mientras preparas la actualización, sin confiar únicamente en medidas parciales de protección de red.