Drupal.org publicó el miércoles 21 de octubre de 2026 un lote de 34 avisos de seguridad sobre 31 módulos y temas contribuidos. Uno es de gravedad muy crítica y siete son críticos. Entre los afectados está el tema Bootstrap, uno de los más usados. El núcleo de Drupal no está afectado.
Lo que se sabe
- Qué salió y cuándo: 34 avisos, del SA-CONTRIB-2026-220 al SA-CONTRIB-2026-253, todos con fecha 21 de octubre de 2026, según la lista de avisos de proyectos contribuidos de drupal.org. Cubren 31 proyectos: UI Icons, Swiper formatter y Frontend Editing reciben dos avisos cada uno.
- Gravedad, según la escala de Drupal: 1 muy crítico («highly critical»), 7 críticos, 25 moderadamente críticos y 1 menos crítico.
- El más grave: Ffmpeg Image Toolkit, con 20 puntos sobre 25. Su aviso habla de ejecución remota de código y dice que el atacante tiene que poder subir imágenes a la web. Se corrige en la versión 1.0.3.
- Otro caso de ejecución de código: Custom Formatters (crítico, 17/25). Según su aviso, su motor de formateo en PHP ejecuta código PHP que escribe un usuario, y la pantalla de permisos no lo advierte. Se corrige en la 4.2.1.
- Los más extendidos: el tema Bootstrap (más de 91.000 webs declaran usarlo), Rabbit Hole (casi 75.000) y View Unpublished (casi 73.000), según la página de cada proyecto en drupal.org, leída el 22 de octubre. Los tres son de gravedad moderada y sus avisos ponen condiciones.
- Bootstrap: el fallo es de tipo cross-site scripting y solo afecta a las funciones opcionales de «tooltips» y «popovers», según su aviso. Se corrige en la 8.x-3.45. La rama 5.0.x no está afectada.
- Rabbit Hole: según su aviso, un visitante anónimo podía ver contenido que la web tenía configurado para devolver «acceso denegado» o «no encontrado», o saltarse una redirección. Se corrige en la 8.x-1.3.
- View Unpublished: solo afecta a webs multilingües con traducciones publicadas y sin publicar de un mismo contenido y con otro módulo que restrinja quién las ve, según su aviso. Se corrige en la 8.x-1.5.
- Explotación: en los 34 avisos, el campo de explotación de la puntuación dice «Theoretical». En la escala de Drupal es el valor más bajo: no hay código de ataque público ni documentación para desarrollarlo.
Los 31 proyectos, con la versión que corrige cada uno según su aviso:
| Proyecto | Gravedad | Versión corregida |
|---|---|---|
| Ffmpeg Image Toolkit | Muy crítica | 1.0.3 |
| Custom Formatters | Crítica | 4.2.1 |
| UI Icons | Crítica y moderada (2 avisos) | 1.1.3 o 2.0.2 |
| Zero Point | Crítica | 8.x-1.30 o 2.0.1 |
| Black Hole | Crítica | 8.x-1.26 o 2.0.1 |
| ABC | Crítica | 8.x-1.25 o 2.0.1 |
| Monster Menus | Crítica | 9.5.6 |
| Dopup | Crítica | 1.0.7 |
| Bootstrap (tema) | Moderada | 8.x-3.45 (la 5.0.x no está afectada) |
| Rabbit Hole | Moderada | 8.x-1.3 |
| View Unpublished | Moderada | 8.x-1.5 |
| Shield | Moderada | 8.x-1.9 |
| Simple OAuth (OAuth2) & OpenID Connect | Moderada | 6.1.3 |
| Fullcalendar View | Moderada | 5.2.6 |
| Media Bulk Upload | Moderada | 3.0.6 |
| Domain | Moderada | 3.0.2 (la 2.0.x no está afectada) |
| ImageAPI Optimize WebP | Moderada | 2.1.2 |
| Media Alias Display | Moderada | 2.1.2 o 3.0.2 |
| Block Attributes | Moderada | 2.1.0 |
| Swiper formatter | Moderada (2 avisos) | 2.1.2 o 3.1.0 |
| TinyPNG | Moderada | 2.0.2 |
| Frontend Editing | Moderada y menos crítica (2 avisos) | 1.9.3 |
| Simple User Management | Moderada | 8.x-1.11 |
| Data field | Moderada | 2.0.14 |
| CSV Field | Moderada | 2.0.10 o 3.0.7 |
| Sector (distribución) | Moderada | 10.3.3 o 10.4.2 |
| Ágora Transparency Theme | Moderada | 1.2.3 |
| USWDS Paragraph Components | Moderada | 3.1.3 |
| DocCheck Basic | Moderada | 2.2.1 |
| Domain Login Restrict | Moderada | 8.x-1.5 |
| AI File to Text | Moderada | 1.0.1 |
Donde hay varias versiones, cada una corresponde a una rama del proyecto.
Qué cambia y qué no
Cambia que 31 proyectos tienen desde el 21 de octubre fallos descritos en público, todos con versión corregida. Una web que use alguno y no actualice se queda con un fallo conocido.
No cambia nada para una web de Drupal que no use ninguno: no hay actualización del núcleo en este lote.
La gravedad no lo dice todo. Casi todos los avisos traen condiciones: un permiso, un ajuste activado, un submódulo, una web multilingüe. Que un proyecto esté en la tabla no quiere decir que tu web esté expuesta. Esa lectura es de este artículo: cada aviso pide instalar la última versión, sin distinguir casos.
Cómo saber si te afecta
Te afecta si tu web está hecha con Drupal y usa alguno de los 31 proyectos. Seis pasos:
- Abre el informe de actualizaciones. En el panel, «Informes → Actualizaciones disponibles» (la ruta es /admin/reports/updates). Drupal marca los proyectos afectados con «¡Se requiere una actualización de seguridad!». El tema Bootstrap aparece ahí también, en la parte de temas.
- Compara con la tabla. En una web gestionada con Composer, `composer show "drupal/*"` lista cada proyecto con su versión.
- Empieza por lo grave. Primero Ffmpeg Image Toolkit y Custom Formatters, si los tienes. Después el resto de críticos y los más extendidos: Bootstrap, Rabbit Hole y View Unpublished.
- Mira los casos con paso extra. Bootstrap: si no puedes actualizar hoy, su aviso propone desactivar los tooltips y popovers en los ajustes del tema. Rabbit Hole: su aviso da medidas temporales sobre permisos para quien no pueda actualizar ya. ImageAPI Optimize WebP 2.0.x, UI Icons 1.0.x y CSV Field 1.0.x ya no tienen soporte: hay que pasar a una rama mantenida.
- Actualiza con copia de seguridad. Copia los archivos y la base de datos. Después actualiza, ejecuta las actualizaciones de base de datos (con `drush updatedb` o en /update.php) y vacía la caché.
- Si otra persona mantiene tu web, pregunta: «¿Usamos alguno de los 31 proyectos de los avisos de Drupal del 21 de octubre? ¿En qué versión están?».
Después de actualizar, prueba la portada, los menús, los formularios y el inicio de sesión.
Relacionado: Desarrollo de Sitios Web en Drupal
Fuentes
- Drupal.org, «Security advisories for contributed projects», lista con los 34 avisos del 21 de octubre de 2026 (en inglés)
- Drupal.org, SA-CONTRIB-2026-220, Ffmpeg Image Toolkit (en inglés)
- Drupal.org, SA-CONTRIB-2026-225, Custom Formatters (en inglés)
- Drupal.org, SA-CONTRIB-2026-236, Bootstrap (en inglés)
- Drupal.org, SA-CONTRIB-2026-252, Rabbit Hole (en inglés)
- Drupal.org, SA-CONTRIB-2026-235, View Unpublished (en inglés)
- Drupal.org, «Security risk levels defined», la escala de gravedad (en inglés)
Actualizaciones: aquí se añadirá si Drupal cambia la gravedad de algún aviso o si se confirma la explotación de alguno.