Drupal corrige fallos críticos de ejecución remota de código (RCE) y advierte de que pronto podrían aparecer exploits

El ges­tor de con­te­ni­dos Dru­pal ha lan­za­do co­rrec­cio­nes para dos fa­llos gra­ves de se­gu­ri­dad que brin­dan a los ata­can­tes la ca­pa­ci­dad de eje­cu­tar có­di­go de forma re­mo­ta en si­tios web que uti­li­cen cual­quier ver­sión com­pa­ti­ble del sis­te­ma. Los pro­ble­mas afec­tan al mó­du­lo Field UI del nú­cleo y al mó­du­lo com­ple­men­ta­rio En­tity List, por lo que la or­ga­ni­za­ción de se­gu­ri­dad re­co­men­dó a los ad­mi­nis­tra­do­res apli­car las ac­tua­li­za­cio­nes con ra­pi­dez ante la po­si­bi­li­dad de que apa­re­cie­ran ata­ques poco des­pués de ha­cer­se pú­bli­ca la in­for­ma­ción.

El pro­yec­to de có­di­go abier­to de­ta­lló que las vul­ne­ra­bi­li­da­des com­pren­den el có­di­go CVE-2026-108097, ubi­ca­do en el nú­cleo, y el có­di­go CVE-2026-108099, pre­sen­te en el mó­du­lo op­cio­nal. Ambos in­ci­den­tes re­quie­ren de mó­du­los com­ple­men­ta­rios o có­di­go per­so­na­li­za­do para poder ser ex­plo­ta­dos, exis­tien­do al menos una vía de ata­que que no de­man­da au­ten­ti­ca­ción pre­via.

Para mi­ti­gar la si­tua­ción, los res­pon­sa­bles acon­se­jan ac­tua­li­zar el nú­cleo a las ver­sio­nes es­pe­cí­fi­cas in­di­ca­das y poner al día el mó­du­lo En­tity List, o bien des­ins­ta­lar el mó­du­lo Field UI en caso de no poder rea­li­zar la ac­tua­li­za­ción. Asi­mis­mo, se men­cio­na que Dru­pal Ste­ward ofre­ce cier­ta pro­tec­ción fren­te a vec­to­res de ata­que co­no­ci­dos, aun­que no cubre todas las po­si­bles for­mas de ex­plo­ta­ción.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el con­tex­to ge­ne­ral de las prue­bas de si­mu­la­ción y las es­ta­dís­ti­cas de pre­ven­ción men­cio­na­das al final del texto.