Si administras o das soporte a un sitio hecho con Drupal, esta semana toca actualizar. El 14 de octubre de 2026 el equipo de seguridad de Drupal publicó correcciones para dos fallas críticas de ejecución remota de código: una en el núcleo del sistema y otra en el módulo Entity List.
Drupal es un gestor de contenidos de código abierto escrito en PHP, es decir, una plataforma para construir sitios web sin programar todo desde cero, parecido a WordPress. Según BleepingComputer, más de un millón de sitios lo usan, y el propio equipo de Drupal advirtió que podrían aparecer exploits en cuestión de horas o días.
¿Qué pasó?
La primera falla, identificada como CVE-2026-108097 y descrita en el aviso SA-CORE-2026-014, está en Field UI, el módulo del núcleo con el que se configuran los campos de contenido. Tiene una calificación de riesgo de 19 sobre 25 en la escala de Drupal. Según el aviso, no se puede explotar solo con el núcleo, pero existen varias rutas de ataque a través de módulos de terceros y de código a la medida, y al menos una de ellas no requiere iniciar sesión.
Están afectadas todas las versiones con soporte: la rama 11.4 antes de 11.4.10, la 11.3 antes de 11.3.19 y la 10.6 antes de 10.6.19, además de las versiones previas de Drupal 12 anteriores a la beta 2. Las versiones corregidas son 11.4.10, 11.3.19 y 10.6.19.
La segunda falla, CVE-2026-108099 en el aviso SA-CONTRIB-2026-218, afecta al módulo contribuido Entity List, que sirve para crear listas de contenido sin usar Views. También es de ejecución remota de código con riesgo de 19 sobre 25, también depende de otros módulos para explotarse y también tiene al menos una ruta sin autenticación. La corrección está en la versión 3.0.10.
El equipo de seguridad había avisado desde el 12 de octubre, con un comunicado previo, que llegaría una actualización crítica dos días después y pidió a los administradores reservar tiempo para aplicarla. Hasta el 17 de octubre, BleepingComputer no reportaba ataques confirmados, y el aviso oficial clasifica el exploit como teórico, sin código público conocido.
¿Por qué te importa?
Una falla de ejecución remota de código es de las más graves que existen: permite a un atacante correr sus propias instrucciones en tu servidor, lo que puede terminar en robo de datos, páginas alteradas o un punto de entrada a otros sistemas de tu red. Que al menos una ruta no pida iniciar sesión significa que no hace falta tener una cuenta en tu sitio para intentarlo.
El detalle de que no se explote solo con el núcleo no te protege en la práctica. Casi cualquier sitio real de Drupal usa módulos contribuidos y código propio, y no hay una lista pública de cuáles abren la puerta. Lo seguro es asumir que tu instalación es vulnerable hasta que la actualices.
Si tu sitio sigue en Drupal 7, 8, 9, en 10.5 o anterior, o en 11.2 o anterior, el problema es mayor: esas ramas ya no reciben parches de seguridad. Esta falla es una buena razón para planear la migración a una rama soportada.
¿Qué puedes hacer?
- Actualiza el núcleo de Drupal a 11.4.10, 11.3.19 o 10.6.19, según la rama que uses, y hazlo primero en un entorno de pruebas si tu sitio es crítico.
- Revisa en la lista de módulos si tienes Entity List instalado y, de ser así, súbelo a la versión 3.0.10.
- Si no puedes actualizar de inmediato, desinstala temporalmente el módulo Field UI; el aviso oficial dice que eso protege mientras aplicas la actualización, aunque perderás la interfaz para editar campos.
- Si pagas Drupal Steward, el servicio de parches virtuales, recuerda que cubre algunas rutas de ataque pero no todas; no sustituye la actualización.
- Haz un respaldo completo de archivos y base de datos antes de actualizar, y revisa después los registros del servidor en busca de actividad extraña.
Las fallas críticas de Drupal suelen explotarse rápido una vez que el parche está publicado, porque el propio parche da pistas a los atacantes. No dejes esta actualización para la próxima semana.
Sigue leyendo
- Guía para desarrollar en WordPress en 2026: por dónde empezar
- Falla crítica en Collabora para Nextcloud ya se usa en ataques
Fuentes
- Drupal Security Team: Drupal core – Critical – Remote code execution – SA-CORE-2026-014
- Drupal Security Team: Entity List – Critical – Remote code execution – SA-CONTRIB-2026-218
- Drupal Security Team: Drupal core – Critical security release – PSA-2026-10-12
- BleepingComputer: Drupal patches critical RCE flaws, warns exploits may emerge soon
Imagen de portada: foto de cottonbro studio en Pexels.