Drupal advierte del riesgo de que se aproveche rápidamente una vulnerabilidad crítica de ejecución de código (RCE) en el núcleo del sistema
Drupal ha lanzado correcciones para cinco fallos de seguridad, entre los cuales se incluyen dos vulnerabilidades catalogadas con una gravedad crítica que permiten la ejecución remota de código. La primera de ellas se localiza en el módulo Entity List y la segunda afecta al módulo Field UI dentro del núcleo de Drupal. Ninguna de las dos se puede aprovechar empleando únicamente el componente predeterminado o el núcleo por sí solo, sino que requieren de otros módulos aportados para contar con vías de ataque, existiendo caminos conocidos que no exigen autenticación.
Para solucionar estos problemas, las recomendaciones oficiales aconsejan actualizar el módulo Entity List y el software principal a las versiones correspondientes proporcionadas por los desarrolladores, recordando que las ediciones anteriores que ya han finalizado su ciclo de vida no reciben parches de seguridad. Como medida de mitigación específica para el fallo del núcleo, los usuarios tienen la opción de desinstalar el módulo Field UI afectado.
Los nuevos paquetes de actualizaciones de Drupal también solucionan fallos de tipo cross-site scripting presentes en el módulo Link del núcleo y en el módulo Navigation, además de corregir otro defecto de seguridad que propicia ataques XSS en el tema de administración Gin.
Hasta el momento, la plataforma no ha mencionado que ninguna de estas vulnerabilidades esté siendo utilizada activamente en ataques reales. No obstante, se ha emitido una advertencia para que los usuarios aparten tiempo en la aplicación de las actualizaciones del núcleo, alertando sobre la posibilidad de que los programas maliciosos sean desarrollados en cuestión de horas o días.