El equipo de seguridad de Drupal ha emitido una alerta crítica sobre una vulnerabilidad de ejecución remota de código (RCE) que afecta al módulo central Field UI. Esta falla, identificada como CVE-2026-108097, podría permitir a un atacante ejecutar código arbitrario en los servidores de los sitios web afectados. Aunque la vulnerabilidad no es accesible directamente solo a través del núcleo de Drupal, se han identificado múltiples rutas de explotación a través de módulos contribuidos, incluyendo al menos una que no requiere autenticación previa.
La vulnerabilidad reside en el módulo Field UI, responsable de las páginas de administración donde los constructores de sitios gestionan los campos y su visualización. Específicamente, una manipulación en el paso de pre-renderización de las tablas del Field UI permitía ejecutar llamadas PHP sin una validación adecuada, aprovechando la propiedad #region_callback. Esta falla afecta a las ramas de Drupal 11.4.x, 11.3.x y 10.6.x.
Versiones anteriores, incluyendo Drupal 8, 9, 10.5.x y 11.2.x y precedentes, han alcanzado su fin de vida (EOL) y no recibirán parches, lo que las deja expuestas de forma permanente. Se estima que casi el 30% de los sitios que reportan su versión de Drupal a drupal.org están en una rama afectada y sin solución, lo que subraya la urgencia de la actualización.
Para mitigar esta amenaza, es imperativo actualizar Drupal a las versiones parcheadas lo antes posible, ya que los exploits podrían desarrollarse rápidamente: Drupal 11.4.x debe actualizarse a la 11.4.10; Drupal 11.3.x a la 11.3.19; y Drupal 10.6.x a la 10.6.19. Como medida de protección temporal si la actualización inmediata no es posible, se recomienda desinstalar el módulo Field UI (field_ui). Sin embargo, esta acción deshabilitará las páginas de administración para la gestión de campos y su visualización. Además, se ha emitido un aviso similar para el módulo contribuido Entity List (CVE-2026-108099), que también debe ser actualizado independientemente del núcleo de Drupal. Más detalles técnicos están disponibles en el aviso oficial de seguridad de Drupal.
Qué significa para tu empresa: Una vulnerabilidad de RCE en una aplicación web como Drupal, especialmente una que puede ser explotada sin autenticación, representa un riesgo crítico para la integridad y confidencialidad de sus datos y operaciones. La prevención y detección temprana son clave. Nuestros servicios de WAF para aplicaciones ofrecen una capa de defensa fundamental, protegiendo sus aplicaciones web de exploits conocidos y ataques de día cero, incluso antes de que los parches específicos puedan ser aplicados. Además, la integración con un SOC con monitoreo 24/7 asegura una vigilancia constante y respuesta rápida ante cualquier intento de explotación o actividad sospechosa.
Fuente original: The Hacker News — ver artículo →