Drupal publicó el 14 de octubre avisos y correcciones para dos vulnerabilidades críticas de ejecución remota de código. Una afecta al componente Field UI de Drupal core, identificada como CVE-2026-108097; la otra corresponde al módulo contribuido Entity List, CVE-2026-108099. Los administradores de sitios deben revisar tanto la versión del núcleo como los módulos instalados.
Para el fallo de Field UI, las versiones corregidas son Drupal 10.6.19, 11.3.19 y 11.4.10. En el caso de Entity List, la actualización indicada es la 3.0.10. Los avisos explican que ciertas rutas de explotación pueden no requerir autenticación, pero también aclaran que ni Drupal core ni Entity List por sí solos bastan necesariamente para desencadenar el ataque: intervienen condiciones y módulos adicionales. El código personalizado también puede exponer la funcionalidad vulnerable.
No hay en esas fuentes confirmación de explotación activa ni una lista de sitios afectados en México. La medida práctica para responsables de portales es comprobar si usan las versiones vulnerables, revisar las dependencias señaladas por Drupal y aplicar las versiones corregidas según su rama. Drupal menciona la desinstalación temporal de Field UI como mitigación mientras se actualiza, una decisión que debe evaluarse en cada sitio. Las ramas Drupal 8 y 9, así como otras versiones antiguas señaladas en el aviso, ya no reciben cobertura de seguridad.
.png)
0 Comentarios