El 14 de octubre de 2026, Drupal publicó actualizaciones de seguridad para una vulnerabilidad crítica de ejecución remota de código en el módulo principal Field UI. Identificada como CVE-2026-108097, la falla recibió una calificación de riesgo de Drupal de 19 sobre 25.
Por sí solo, el núcleo no ofrece una vía para aprovechar el comportamiento vulnerable. Sin embargo, según el relato de The Hacker News sobre el aviso del Equipo de Seguridad de Drupal, existen varias rutas de explotación a través de módulos contribuidos sin nombre, incluida al menos una que no requiere inicio de sesión. El código personalizado también puede exponer la falla.
Hasta el 15 de octubre de 2026, no había surgido ningún exploit público ni ningún ataque informado que utilizara CVE-2026-108097. El 12 de octubre, Drupal había anunciado previamente la publicación de seguridad y advertido a los administradores que reservaran tiempo para la actualización, ya que el desarrollo de exploits podía llegar en cuestión de horas o días.
Qué versiones de Drupal requieren atención
La vulnerabilidad está corregida en las siguientes versiones:
| Rama de Drupal | Estado de seguridad | Acción requerida |
|---|---|---|
| Drupal 11.4.x | Corregida en 11.4.10 | Actualizar a 11.4.10 |
| Drupal 11.3.x | Corregida en 11.3.19 | Actualizar a 11.3.19; la cobertura de seguridad termina en diciembre de 2026 |
| Drupal 10.6.x | Corregida en 10.6.19 | Actualizar a 10.6.19; la cobertura de seguridad termina en diciembre de 2026 |
| Drupal 12.0.0 beta | Corregida en 12.0.0-beta2 | Versión beta; no apta para producción |
| Drupal 11.2.x y anteriores | Sin corrección | Fin de vida útil |
| Drupal 10.5.x y anteriores | Sin corrección | Fin de vida útil |
| Drupal 8 y 9 | Sin corrección | Fin de vida útil |
Los sitios que usan el perfil de instalación Standard de Drupal incluyen Field UI, salvo que los administradores lo hayan eliminado.
Los datos de versiones reportadas ilustran la posible exposición en versiones antiguas, pero no representan todas las instalaciones de Drupal. Durante la semana que comenzó el 4 de octubre de 2026, 151.442 de 531.499 sitios que enviaron su versión del núcleo a drupal.org (28,5 %) ejecutaban ramas descritas como afectadas y que ya no recibían correcciones.
Cómo el callback eludió las protecciones de renderizado de Drupal
Field UI proporciona páginas de administración que se usan para configurar los campos y controlar cómo se muestran. Construye las tablas como arrays de renderizado, que Drupal convierte después en HTML.
Antes del parche, el proceso de prerenderizado de la tabla aceptaba el callable de PHP almacenado en la propiedad #region_callback de cada fila y lo invocaba mediante call_user_func_array. El código no verificaba primero que el callable fuera seguro.
El renderizador de Drupal bloquea los callbacks de renderizado no confiables desde la versión 8.8. Esa protección no cubría esta ruta de ejecución indirecta: el renderizador confiaba en el método de prerenderizado propio del elemento tabla, mientras que el callable seleccionado después desde #region_callback no pasaba por la misma validación.
Si un módulo contribuido o una implementación personalizada permite que datos controlados por un atacante lleguen a esa propiedad, el resultado puede ser la ejecución de PHP arbitrario. La llamada vulnerable estaba presente desde Drupal 8.9.0 como mínimo.
En Drupal 11.4.10, el código de la tabla ya no ejecuta el callback de la fila. En su lugar, obtiene la región directamente del valor de región de la fila. Un valor no reconocido se sustituye por la región oculta de la tabla o, si no está disponible, por su primera región.
Este cambio también tiene una consecuencia de compatibilidad. El código personalizado que asigna #region_callback a filas de un field_ui_table ya no verá esos callbacks ejecutados después de la actualización. En el núcleo, los propios formularios de visualización de Field UI eran los únicos componentes que usaban esa propiedad.
Actualizar primero; desactivar Field UI es una protección temporal
Los administradores deben instalar la versión corregida de su rama compatible. Si no es posible una actualización inmediata, el aviso recomienda desinstalar el módulo Field UI, identificado como field_ui, mientras el sitio se actualiza.
Eliminar el módulo bloquea el componente vulnerable, pero también hace que no estén disponibles las páginas administrativas “gestionar campos” y “gestionar visualización”.
Drupal Steward, un conjunto de reglas de firewall para aplicaciones web mantenido por el Equipo de Seguridad, ya bloquea algunos vectores de ataque conocidos. Acquia, Pantheon, Ironstar y Skpr lo gestionan para sus clientes. Sin embargo, su cobertura es incompleta, por lo que no sustituye a la actualización.
Después de aplicar la actualización, los operadores con código personalizado de Drupal deben:
- Buscar código que asigne
#region_callbacka las filas defield_ui_table. - Probar las páginas de administración “gestionar campos” y “gestionar visualización”.
- Reemplazar cualquier flujo de trabajo que dependiera del comportamiento del callback de fila que ahora está desactivado.
Entity List requiere una actualización de módulo por separado
La misma ventana de publicación incluyó CVE-2026-108099, un problema crítico de RCE en el módulo contribuido Entity List. Según lo informado, sus condiciones también incluyen una vía conocida que no requiere autenticación, y las notas de publicación de Entity List 3.0.10 indican que su corrección replica el cambio de Field UI.
Actualizar el núcleo de Drupal no actualiza Entity List. Los sitios que usan ese módulo deben actualizarlo por separado a 3.0.10. Durante la semana que comenzó el 4 de octubre de 2026, 90 sitios informaron que usaban el módulo.
Las versiones corregidas del núcleo también abordan dos fallas de cross-site scripting de gravedad moderada: CVE-2026-108515 en el módulo Link y CVE-2026-108514 en el módulo Navigation. Ambas requieren al menos un usuario con sesión iniciada.
Drupal 7 llega al fin de su vida útil el drupal.org y no tiene ninguna corrección oficial del núcleo listada. Pantheon indica que su servicio de soporte a largo plazo con Tag1 Consulting ha publicado Drupal 7.107 con una retroportación de la corrección. Quienes dependan de ese servicio deben usar la versión compilada compatible que se ofrece a través de él.
