Drupal corrige dos fallas críticas de ejecución remota de código y pide actualizar de inmediato

CVE-2026-108097 y CVE-2026-108099 afectan a todas las versiones con soporte y tienen al menos una ruta de explotación sin autenticación.

Drupal publicó parches para dos vulnerabilidades críticas que permitirían a un atacante ejecutar código de forma remota en sitios con cualquier versión con soporte del gestor de contenidos, informó BleepingComputer el 17 de octubre. El equipo de seguridad advirtió que los exploits «podrían desarrollarse en cuestión de horas o días».

La primera, CVE-2026-108097, está en el módulo Field UI del núcleo. No se puede explotar solo con el núcleo, pero los módulos contribuidos ofrecen varias rutas, al menos una sin autenticación. La segunda, CVE-2026-108099, afecta a Entity List, un módulo contribuido para crear listas de entidades, y también tiene una ruta conocida sin autenticación.

Drupal recomienda actualizar el núcleo a la versión 10.6.19, 11.3.19 u 11.4.10, según la rama, y Entity List a la 3.0.10. Quien no pueda actualizar puede desinstalar el módulo Field UI como medida de mitigación. Las versiones anteriores a 10.6.x y a 11.3.x ya no tienen soporte, y las prelanzamientos de Drupal 12 anteriores a beta2 también están afectadas.

Drupal es popular entre agencias de gobierno, universidades y organizaciones sin fines de lucro, por lo que los equipos de TI de esas instituciones deberían revisar sus sitios esta semana.

Fuente: BleepingComputer: «Drupal patches critical RCE flaws, warns exploits may emerge soon», 17 de octubre de 2026.