Vulnerabilidad crítica de ejecución remota de código (RCE) en Drupal 8.x a 12.x

Dru­pal ha pu­bli­ca­do ac­tua­li­za­cio­nes de se­gu­ri­dad para una vul­ne­ra­bi­li­dad crí­ti­ca de eje­cu­ción re­mo­ta de có­di­go que po­dría per­mi­tir a los ata­can­tes tomar el con­trol de los si­tios web afec­ta­dos sin ne­ce­si­dad de ini­ciar se­sión.

Iden­ti­fi­ca­da como CVE-2026-108097, la vul­ne­ra­bi­li­dad afec­ta al mó­du­lo "Field UI" (in­ter­faz de cam­pos) en el nú­cleo de Dru­pal. El equi­po de se­gu­ri­dad de Dru­pal pu­bli­có su ad­ver­ten­cia el 14 de oc­tu­bre de 2026.

El bo­le­tín de se­gu­ri­dad ofi­cial, SA-CORE-2026-014, asig­na al pro­ble­ma una pun­tua­ción de ries­go de 19 sobre 25 según el sis­te­ma de ca­li­fi­ca­ción de Dru­pal. Una ex­plo­ta­ción exi­to­sa po­dría ex­po­ner todos los datos pri­va­dos del sitio web y per­mi­tir a los ata­can­tes mo­di­fi­car o eli­mi­nar in­for­ma­ción.

El de­ta­lle más im­por­tan­te es que el nú­cleo de Dru­pal, por sí solo, no ofre­ce una vía di­rec­ta para ex­plo­tar la vul­ne­ra­bi­li­dad. Sin em­bar­go, el equi­po de se­gu­ri­dad con­fir­mó que exis­ten va­rias rutas de ata­que gra­ves cuan­do hay mó­du­los adi­cio­na­les (o "con­tri­bui­dos") ins­ta­la­dos. Se trata de mó­du­los com­ple­men­ta­rios que se uti­li­zan para am­pliar las fun­cio­na­li­da­des de un sitio web más allá de sus ca­pa­ci­da­des bá­si­cas.

Al menos una de las rutas de ata­que co­no­ci­das no re­quie­re au­ten­ti­ca­ción, lo que sig­ni­fi­ca que el ata­can­te no ne­ce­si­ta­ría una cuen­ta vá­li­da. El có­di­go per­so­na­li­za­do del sitio web tam­bién po­dría ex­po­ner la fun­cio­na­li­dad vul­ne­ra­ble. Los ad­mi­nis­tra­do­res de si­tios deben tener en cuen­ta las ex­ten­sio­nes ins­ta­la­das y los de­sa­rro­llos a me­di­da, en lugar de eva­luar el nivel de ex­po­si­ción ba­sán­do­se úni­ca­men­te en la ver­sión de Dru­pal…