151.000 sitios Drupal sin parche: vulnerabilidad crítica podría permitir la toma de control de servidores

Un complemento común de Drupal puede convertir un error del núcleo en un vector para la ejecución remota de código sin necesidad de autenticación. El equipo del proyecto el 14 de octubre corrigió una vulnerabilidad crítica en Field UI, que se vuelve peligrosa cuando se combina con módulos contribuidos o con código propio del sitio. Para una de las rutas de ataque conocidas no se requiere cuenta.

El problema recibió el identificador CVE-2026-108097 y una puntuación de 9,8 en la escala CVSS 3.1. Según la propia escala de Drupal, el riesgo es de 19 sobre 25 y se clasifica como crítico. El equipo de Drupal confirmó que la vulnerabilidad se encuentra en el módulo estándar Field UI, a través del cual los administradores gestionan los campos de contenido y su visualización en las páginas.

No basta con un núcleo vulnerable para el ataque. El peligro surge cuando un módulo contribido o el código propio del sitio abren una cadena de llamadas adecuada hacia la funcionalidad afectada. Los desarrolladores conocen varios escenarios graves, y al menos uno permite alcanzar la ejecución remota de código (RCE) de forma anónima, sin autenticación previa en el sitio.

Las correcciones se incluyeron en Drupal 11.4.10, 11.3.19 y 10.6.19, y para la rama de pruebas Drupal 12 se preparó la versión 12.0.0-beta2. Son vulnerables Drupal 8.9.0–10.6.18, 11.0.0–11.3.18, 11.4.0–11.4.9 y las compilaciones iniciales de Drupal 12. Las ramas 11.2.x y anteriores, así como 10.5.x y anteriores, ya no tienen soporte, por lo que los propietarios de esos sitios deberán migrar a una rama actual.

La escala de instalaciones desactualizadas sigue siendo notable. Las estadísticas del proyecto muestran que en la semana del 4 de octubre 151 442 de 531 499 sitios reportantes, aproximadamente el 28,5 %, funcionaban en ramas que están incluidas en el boletín pero que ya no reciben parches independientes. La muestra abarca únicamente los recursos que envían información de versión a Drupal.org, por lo que no describe toda la base instalada del CMS.

A los administradores que no puedan actualizar de inmediato, Drupal les aconseja eliminar temporalmente Field UI con el nombre interno field_ui. Esta medida bloquea la ruta conocida a través del componente vulnerable, pero al mismo tiempo quita del panel de administración las páginas de configuración de campos y su visualización. Drupal Steward ya filtra parte de los vectores conocidos; sin embargo, los desarrolladores no consideran que esa protección sustituya al parche.

A fecha del 15 de octubre no se ha publicado un exploit público para CVE-2026-108097, ni se han descrito ataques confirmados. El equipo de Drupal advirtió con antelación sobre el lanzamiento urgente, ya que los exploits en funcionamiento tras la divulgación de errores similares pueden aparecer en horas o días. En primavera ya hubo una alarma comparable en torno a las inyecciones SQL en Drupal, capaces de conducir a la ejecución remota de código.

La versión 11.4.10 corrige no solo la ejecución remota de código, sino también dos vulnerabilidades XSS de menor gravedad en los módulos Link y Navigation. Para los propietarios de sitios, la prioridad es sencilla: pasar a una rama con soporte, instalar el último parche de seguridad y revisar los módulos contribuidos o propios que puedan dar acceso a Field UI. La eliminación temporal del componente sirve únicamente como medida provisional hasta actualizar.