Drupal corrige un fallo crítico: pasa a 11.4.10 o 10.6.19

Lo que se sabe

• El aviso: SA-CORE-2026-014, publicado por el equipo de seguridad de Drupal el 14 de octubre a las 16:10 UTC (11:10 en Lima). Lo califica de «Critical», 19 sobre 25, por ejecución remota de código. Su identificador es CVE-2026-108097.
• Dónde está el fallo: en Field UI (`field_ui`), el módulo del núcleo con el que se gestionan los campos desde el panel.
• Cuándo es peligroso: según el aviso, el núcleo solo no es explotable directamente. Pero varios módulos contribuidos abren vías serias, y al menos una no exige iniciar sesión. El código propio de una web también puede abrirla.
• Versiones afectadas: desde la 8.9.0 hasta antes de 10.6.19; de la 11.0.0 a antes de la 11.3.19; de la 11.4.0 a antes de la 11.4.10, y las versiones de prueba de Drupal 12 anteriores a la 12.0.0-beta2.
• Versiones que lo corrigen: 11.4.10, 11.3.19 y 10.6.19, publicadas el mismo día. Corrigen además otros dos avisos de riesgo «moderadamente crítico» por cross-site scripting: SA-CORE-2026-015, en el módulo Link, y SA-CORE-2026-016, en el módulo Navigation. Según Drupal, los dos exigen una cuenta con permisos en la web y solo se pueden aprovechar con configuraciones poco comunes.
• Sin soporte: Drupal 11.2.x y anteriores, y 10.5.x y anteriores, ya no reciben correcciones. Drupal 8 y 9 tampoco.
• Mientras se actualiza: el aviso indica que desinstalar Field UI protege hasta poner la versión nueva. Drupal Steward da una protección parcial, que no cubre todas las vías.
• ¿Se está atacando? El aviso no dice que haya ataques. Su escala marca el uso como «teórico»: sin código de ataque público por ahora.
• Drupal 10: según la página de la 10.6.19, la rama 10.6 tendrá correcciones hasta el fin de Drupal 10, en diciembre de 2026.

Qué cambia y qué no

El anuncio previo del 12 de octubre ya avisaba de la gravedad. Lo nuevo es que el parche ya existe y que se sabe dónde está el fallo. Desde ahora cualquiera puede comparar la versión vieja con la nueva, así que el tiempo juega en contra de quien no actualice.

No afecta a Drupal 7 ni a webs hechas con otros gestores, como WordPress.

Cómo saber si te afecta

1. Mira tu versión. En el panel de Drupal, «Informes» → «Informe de estado» (`/admin/reports/status`). También aparece en «Informes» → «Actualizaciones disponibles».
2. Elige la versión según tu rama:

- 11.4.x → 11.4.10

- 11.3.x → 11.3.19

- 10.6.x → 10.6.19

- 11.2 o anterior, 10.5 o anterior, Drupal 8 o 9 → no hay parche: hay que pasar a una rama con soporte.

1. Actualiza hoy, con copia de seguridad antes. Si tu web se gestiona con Composer, la página de cada versión en drupal.org trae el comando exacto. Después, ejecuta las actualizaciones de la base de datos y vacía la caché.
2. Si hoy no puedes actualizar, mira en «Ampliar» (`/admin/modules`) si Field UI está activo. Desinstalarlo es la protección provisional que da el aviso. Field UI es solo la pantalla para gestionar campos: quitarlo no borra los campos de tu contenido, pero no podrás editarlos desde el panel hasta reinstalarlo.
3. Si la web la mantiene otra persona o tu hosting, pregúntale hoy dos cosas: qué versión de Drupal tiene tu web y a qué hora quedará en 11.4.10, 11.3.19 o 10.6.19.
4. Si estás en Drupal 10, planifica ya el paso a Drupal 11: su rama deja de tener soporte en diciembre de 2026.

Relacionado: Drupal: parche crítico del núcleo el 14 de octubre, qué hacer

Fuentes

• Drupal, aviso SA-CORE-2026-014, 14 de octubre de 2026 (en inglés)
• Drupal, notas de la versión 11.4.10 (en inglés)
• Drupal, notas de la versión 10.6.19 (en inglés)
• Drupal, anuncio previo PSA-2026-10-12 (en inglés)

Actualizaciones: si Drupal informa de ataques o saca una versión nueva, se añadirá aquí con su enlace.