Drupal ha corregido dos vulnerabilidades críticas que podrían permitir la ejecución remota de código en sitios web que utilicen cualquier versión compatible del sistema de gestión de contenidos. Los fallos afectan al módulo Field UI del núcleo de Drupal y al módulo contribuido Entity List.
El proyecto instó a los administradores a aplicar las actualizaciones cuanto antes y advirtió de que los atacantes podrían desarrollar exploits en cuestión de horas o días desde la divulgación de las vulnerabilidades. El aviso de seguridad de CVE-2026-108097 indica que el fallo no puede explotarse usando únicamente el núcleo de Drupal, pero que los módulos contribuidos o el código personalizado pueden abrir vías de explotación. Al menos una de ellas no requiere autenticación. La explotación de CVE-2026-108099 también requiere interacción con módulos contribuidos o código personalizado; al menos una vía conocida no necesita autenticación.
Los administradores deben actualizar el núcleo de Drupal a la versión 10.6.19, 11.3.19 o 11.4.10, según la rama de lanzamiento, y Entity List a la versión 3.0.10. Las versiones anteriores a Drupal 10.6.x y Drupal 11.3.x ya no reciben soporte. También están afectadas las versiones preliminares de Drupal 12 anteriores a beta2, aunque no están destinadas a entornos de producción. El proyecto afirma que la versión estable final de Drupal 12.0 incluirá las correcciones.
Para los sistemas que no puedan actualizarse, Drupal señala que desinstalar el módulo Field UI del núcleo (field_ui) es una medida de mitigación eficaz. Drupal Steward protege frente a algunas vías de ataque conocidas, pero no cubre todos los exploits posibles.
Comentarios
0Aún no hay comentarios. Escribe el primero.