Drupal corrige un fallo crítico en la interfaz de usuario de campos con una ruta de ejecución RCE no autenticada a través de módulos contribuidos.

El núcleo de Drupal presenta una vulnerabilidad crítica en su módulo Field UI que podría permitir a un atacante ejecutar código en el servidor del sitio. Las correcciones se publicaron el 14 de octubre en las versiones 11.4.10, 11.3.19 y 10.6.19 de Drupal.

Según el equipo de seguridad de Drupal, un atacante no puede acceder a la vulnerabilidad únicamente a través del núcleo. Existen varias vías de explotación mediante módulos contribuidos, y al menos una de ellas no requiere inicio de sesión.

Identificada como CVE-2026-108097, la vulnerabilidad se encuentra en Field UI, el módulo principal que gestiona las páginas de administración donde los desarrolladores web gestionan los campos y su visualización. Drupal la califica con un 19 sobre 25 en su escala de riesgo, el nivel que el proyecto considera crítico.

El aviso no especifica los módulos contribuidos que permiten acceder a la vulnerabilidad, y el código personalizado también podría exponerla. Drew Webber, del equipo de seguridad, y Octavio Galland fueron los responsables de reportarla. Qué hacer ahora

Versión corregida para cada rama compatible:

Drupal 11.4.x: actualizar a 11.4.10

Drupal 11.3.x: actualizar a 11.3.19

Drupal 10.6.x: actualizar a 10.6.19

Drupal 12.0.0 beta: 12.0.0-beta2, no apta para producción

Sin corrección: Drupal 11.2.x e inferiores, 10.5.x e inferiores, y Drupal 8 y 9, todas ellas con soporte para versiones anteriores.

Tanto la versión 11.3.x como la 10.6.x perderán su cobertura de seguridad en diciembre de 2026.

En la semana que comenzó el 4 de octubre, 151.442 de los 531.499 sitios que informaron su versión del núcleo de Drupal a drupal.org (28,5 %) se encontraban en una rama con aviso de seguridad. Las listas muestran que el sitio está afectado y que aún no se ha solucionado.

Un sitio que aún no puede actualizarse puede desinstalar el módulo Field UI, field_ui, lo que "proporcionará protección mientras se actualizan los sitios", indica el aviso. Las páginas de administración para gestionar los campos y su visualización no estarán disponibles mientras el módulo esté desinstalado.

Field UI se instala con el perfil de instalación estándar de Drupal, por lo que un sitio creado con ese perfil tiene el módulo a menos que alguien lo haya eliminado.

Drupal Steward, un servicio de firewall de aplicaciones web con reglas escritas por el Equipo de Seguridad, ya bloquea algunos vectores de ataque conocidos para esta vulnerabilidad. Acquia, Pantheon, Ironstar y Skpr lo utilizan para sus clientes. No cubre todas las posibles vulnerabilidades, y esos sitios aún deben actualizarse, indica el aviso.

El aviso calificó la vulnerabilidad como sin código de explotación disponible públicamente al momento de su publicación. Al 15 de octubre, no había aparecido ninguno, y ni el aviso ni los informes públicos describían ataques que la utilizaran.