NoticiasNews

Drupal corrige dos fallas críticas de ejecución remota de código y advierte que podrían explotarse prontoDrupal fixes two critical remote code execution flaws and warns exploits may appear soon

2026-10-19

El equipo de seguridad de Drupal publicó el 14 de octubre de 2026 una serie de avisos que incluyen dos vulnerabilidades críticas de ejecución remota de código y tres de tipo XSS. BleepingComputer advirtió el 17 de octubre que podrían aparecer exploits pronto. Hasta el momento, la cobertura consultada no reporta explotación confirmada.

Qué se corrigió

  • SA-CORE-2026-014 (CVE-2026-108097): ejecución remota de código en Field UI del núcleo, severidad crítica.
  • SA-CONTRIB-2026-218 (CVE-2026-108099): ejecución remota de código en el módulo Entity List, también crítica.
  • Tres fallas XSS de severidad moderadamente crítica en Link, Navigation y el tema de administración Gin.

Versiones corregidas

Drupal core 11.4.10, 11.3.19 y 10.6.19; Entity List 3.0.10; Gin 4.1.4 y 5.0.16. Actualizar el núcleo no reemplaza el código de los módulos, así que Entity List y Gin se actualizan por separado. Las versiones fuera de soporte (11.2 y anteriores, 10.5 y anteriores, Drupal 8 y 9) no recibirán estas correcciones. Si no puedes actualizar Field UI de inmediato, el aviso sugiere desinstalar ese módulo de forma temporal, tras revisar dependencias.

Según la cobertura, las dos fallas críticas no son explotables solo a través de sus módulos: los caminos conocidos dependen de interacciones con otros módulos o código propio, y al menos uno no requiere autenticación. Verifica los detalles en los avisos oficiales de Drupal antes de actuar.

Por qué importa a quien atiende público

Muchos portales de gobierno, bancos y empresas usan Drupal para sus sitios de información, formularios de contacto y páginas donde se piden citas o se consulta el estado de un trámite. Si ese portal queda comprometido, afecta directamente a la atención: se caen los formularios, se pierden solicitudes o se redirige a los usuarios a páginas falsas.

La continuidad de la atención depende de tener claro qué canales existen y cómo se registran las solicitudes. Con Nexturno, de TEKFENIX, las sucursales gestionan turnos, colas y citas con métricas de espera, y Servigo365 registra las solicitudes de soporte como tickets con historial y SLA. Ninguno de los dos usa inteligencia artificial; aportan procesos y datos ordenados para que, si un canal web falla, el equipo sepa qué quedó pendiente y pueda decidir qué automatizar después.

Fuentes: The Drop Times, BleepingComputer.

The Drupal security team published a set of advisories on October 14, 2026 that include two critical remote code execution vulnerabilities and three XSS issues. BleepingComputer warned on October 17 that exploits may appear soon. So far, the coverage consulted reports no confirmed exploitation.

What was fixed

  • SA-CORE-2026-014 (CVE-2026-108097): remote code execution in core Field UI, rated critical.
  • SA-CONTRIB-2026-218 (CVE-2026-108099): remote code execution in the Entity List module, also critical.
  • Three moderately critical XSS flaws in Link, Navigation and the Gin admin theme.

Fixed versions

Drupal core 11.4.10, 11.3.19 and 10.6.19; Entity List 3.0.10; Gin 4.1.4 and 5.0.16. Updating core does not replace module code, so Entity List and Gin are updated separately. Unsupported versions (11.2 and earlier, 10.5 and earlier, Drupal 8 and 9) will not receive these fixes. If you cannot update Field UI right away, the advisory suggests temporarily uninstalling that module after checking dependencies.

According to the coverage, the two critical flaws are not exploitable through their modules alone: known attack paths depend on interactions with other modules or custom code, and at least one requires no authentication. Check the official Drupal advisories before acting.

Why it matters for anyone serving the public

Many government portals, banks and companies run Drupal for information sites, contact forms and pages where appointments are requested or a procedure's status is checked. If that portal is compromised, service suffers directly: forms go down, requests are lost, or users get redirected to fake pages.

Service continuity depends on knowing which channels exist and how requests are recorded. With Nexturno, from TEKFENIX, branches manage tickets, queues and appointments with wait-time metrics, and Servigo365 records support requests as tickets with history and SLA. Neither uses artificial intelligence; they provide orderly processes and data so that, if a web channel fails, the team knows what was left pending and can decide what to automate next.

Sources: The Drop Times, BleepingComputer.

← Volver al blog← Back to blog