Drupal 11.4.10 corrige una falla RCE crítica en Field UI

El equipo de seguridad de Drupal publicó el 14 de octubre de 2026 correcciones para una falla crítica que puede permitir a un atacante ejecutar código en un sitio Drupal. El error está en Field UI, un módulo que viene incluido con el propio Drupal. Se registra como SA-CORE-2026-014 y CVE-2026-108097. El núcleo por sí solo no es directamente explotable, pero los módulos adicionales abren varias vías de entrada, y al menos una de ellas no requiere iniciar sesión.

El aviso de seguridad del núcleo de Drupal califica la falla con 19 de 25 puntos en la escala de riesgo propia de Drupal, lo que la sitúa en la categoría Critical. Las versiones corregidas son Drupal 11.4.10, 11.3.19 y 10.6.19.

En qué consiste la falla de Field UI

Drupal es un sistema de gestión de contenidos de código abierto escrito en PHP. Field UI es la parte de Drupal que ofrece a los creadores de sitios pantallas para añadir campos, como una fecha o una imagen, a un tipo de contenido.

El aviso califica el error como ejecución remota de código, o RCE. Eso significa que un atacante podría hacer que el servidor ejecute los comandos que elija. Es uno de los tipos de fallas web más graves, porque puede entregar el sitio entero.

La trampa está en cómo se llega al error. "La vulnerabilidad no es directamente explotable solo con el núcleo, pero existen varias vías de explotación graves con módulos contribuidos", dice el aviso. Los módulos contribuidos son los complementos gratuitos que la mayoría de los sitios Drupal instalan desde drupal.org. El aviso añade que al menos una vía conocida no requiere autenticación, y que el código personalizado de un sitio también puede exponer la falla.

Cómo puntúa Drupal el riesgo

Drupal califica cada falla con un código corto. El aviso del núcleo indica AC:Basic/A:None/CI:All/II:All/E:Theoretical/TD:Default. Esto es lo que significa cada parte.

Parte	Valor	Significado sencillo
AC	Basic	El ataque requiere algunos pasos, pero nada inusual
A	None	No hace falta iniciar sesión en la vía evaluada
CI	All	Todos los datos no públicos podrían leerse
II	All	Todos los datos podrían modificarse o borrarse
E	Theoretical	No se conoce código de explotación público
TD	Default	Las configuraciones predeterminadas o comunes están expuestas

"Theoretical" es la única parte esperanzadora. Significa que nadie había publicado código de ataque funcional cuando salió el aviso. Ninguna de las dos fuentes informa de ataques reales.

Qué versiones de Drupal necesitan la actualización

Rama	Afectadas	Corregido en
Drupal 11.4.x	Todas las versiones anteriores a 11.4.10	11.4.10
Drupal 11.3.x	Todas las versiones anteriores a 11.3.19	11.3.19
Drupal 10.6.x	Todas las versiones anteriores a 10.6.19	10.6.19
Versiones de prueba de Drupal 12	De 12.0.0-alpha1 a 12.0.0-beta1	El rango termina antes de 12.0.0-beta2
11.2.x y anteriores, 10.5.x y anteriores, 9, 8.9	Afectadas, fin de vida	Sin corrección

La última fila es la que más importa para los sitios antiguos. La nota de versión de Pantheon clasifica esas ramas como en fin de vida, así que no recibirán ningún parche. Pantheon es una gran empresa de alojamiento de Drupal. Su consejo es migrar esos sitios a una versión con soporte.

El aviso atribuye el reporte del error a Drew Webber y Octavio Galland. Los miembros del equipo de seguridad de Drupal catch, Lee Rowlands, Dave Long, Drew Webber y Jess escribieron la corrección.

Un módulo adicional recibió la misma calificación

El mismo día, Drupal publicó SA-CONTRIB-2026-218 para Entity List. Es un módulo contribuido que crea listas de entidades sin la herramienta Views. Entidades es el nombre que Drupal da a los elementos de contenido y otros registros. También es una falla crítica de ejecución de código, con 19 de 25 puntos.

Las versiones anteriores a 3.0.10 están afectadas, y la 3.0.10 lo corrige. Ese aviso lo dice claramente: "Al menos una vía de explotación conocida no requiere autenticación." No ofrece ninguna solución alternativa, así que actualizar es la única corrección.

Qué significa para los desarrolladores

Actualiza primero el núcleo. Pasa cada sitio a 11.4.10, 11.3.19 o 10.6.19, según la rama que le corresponda. En un sitio gestionado con Composer, eso significa actualizar el paquete del núcleo y desplegar, y luego comprobar que el informe de estado del sitio muestra la nueva versión. Los clientes de Pantheon pueden usar la actualización del núcleo con un clic en el panel. "Actualiza tus sitios Drupal a una versión con parche lo antes posible", dice la nota de Pantheon.

Si no puedes actualizar hoy, desinstala el módulo Field UI del núcleo. Según el aviso, esto "dará protección mientras se actualizan los sitios". Field UI solo hace falta mientras alguien cambia la estructura de un sitio, así que muchos sitios en producción pueden funcionar sin él durante un tiempo. Comprueba primero que ningún otro módulo instalado dependa de él. Vuelve a activarlo después de la actualización.

Revisa después tus complementos. Todo sitio que use Entity List necesita la versión 3.0.10. Como a la falla del núcleo se llega a través de código contribuido y personalizado, revisa cualquier módulo personalizado que llame a funciones de Field UI desde una página pública.

No confíes solo en un firewall. Según el aviso, Drupal Steward, el servicio de firewall del equipo de seguridad, bloquea algunas vías de ataque conocidas, pero no todas. Aun así, el aviso pide a los sitios protegidos por ese servicio que actualicen.

Trata los sitios en fin de vida como expuestos. Los sitios con Drupal 9 y con versiones antiguas de 10.x u 11.x no recibirán parche. Desinstalar Field UI es la solución provisional más rápida mientras planificas el paso a una rama con soporte.

Vigila tus registros esta semana. La corrección es pública, y los atacantes estudian los parches para encontrar el punto débil. En septiembre, WordPress publicó una versión de seguridad para un error similar de ejecución de código, y el consejo de entonces también vale aquí: aplica el parche en cada entorno, staging incluido.