El equipo de seguridad de Drupal avisó el 12 de octubre de 2026 de que el miércoles 14 de octubre publicará una corrección crítica del núcleo para todas las versiones con soporte: 11.4, 11.3 y 10.6. La publicará entre las 11:00 y las 16:00, hora de Lima. Pide reservar tiempo ese día para actualizar.
Lo que se sabe
- El anuncio: según el aviso previo PSA-2026-10-12 de drupal.org, publicado el 12 de octubre, habrá una versión de seguridad del núcleo para todas las ramas con soporte el 14 de octubre, entre las 16:00 y las 21:00 UTC.
- La gravedad: drupal.org la puntúa con 19 sobre 25 en su calculadora de riesgo, el punto más alto del nivel «crítico» (de 15 a 19); por encima solo está «altamente crítico».
- Qué dice esa puntuación: según las definiciones de drupal.org, el fallo no exige tener cuenta en la web, afecta a todas las configuraciones y podría dar acceso a todos los datos no públicos y permitir cambiarlos o borrarlos. También dice que es difícil de explotar (varios pasos y condiciones) y que no hay código de ataque publicado.
- Versiones afectadas: según el aviso, todas las que tienen soporte: Drupal 11.4.x, 11.3.x y 10.6.x. La versión de prueba 12.0.0-beta1 también; Drupal publicará betas nuevas después.
- El riesgo de esperar: el equipo de seguridad avisa de que los ataques «might be developed within hours or days» después de la publicación.
- La recomendación para hoy: el aviso pide pasar antes del 14 de octubre al último parche de la rama de cada web, para resolver antes cualquier problema de la actualización. Según el historial de versiones de drupal.org, esos parches son 11.4.9 (9 de octubre), 11.3.18 (28 de septiembre) y 10.6.18 (26 de septiembre).
- Drupal Steward: según el aviso, las webs que usan ese servicio de protección ya están cubiertas frente a algunas vías de ataque conocidas, pero no frente a todas, y también deben actualizar.
- Lo que no se sabe: drupal.org dice que nadie dará más detalles del fallo hasta el anuncio del día 14.
- Versiones sin soporte: todas las anteriores a 10.6.x y las de Drupal 11 anteriores a 11.3.x. El aviso pide actualizarlas cuanto antes.
Qué cambia y qué no
Hoy no hay nada que parchear: la corrección aún no existe. Lo que cambia es el calendario. Quien tenga una web en Drupal sabe que el miércoles 14 necesitará a alguien disponible para instalar la versión nueva el mismo día.
La ventana del 14 de octubre, pasada a la hora local: de 11:00 a 16:00 en Lima y Bogotá, de 10:00 a 15:00 en Ciudad de México y de 18:00 a 23:00 en Madrid.
No afecta a las webs hechas con WordPress ni con otros gestores. Tampoco cambia nada para los módulos contribuidos: este aviso es solo del núcleo.
Si tu web está en una versión sin soporte (por ejemplo, Drupal 11.2 o Drupal 10.5), no recibirá esta corrección. Ahí el trabajo es más largo que un parche, así que conviene empezar hoy.
Cómo saber si te afecta
- Mira la versión. Con una cuenta de administrador, entra en Informes → Informe de estado (la dirección /admin/reports/status). La primera línea dice la versión de Drupal.
- Compárala con tu rama: 11.4.x → instala hoy la 11.4.9; 11.3.x → la 11.3.18; 10.6.x → la 10.6.18. Si ya la tienes, la web está lista para el día 14.
- Si tu versión no está en esa lista, la web está fuera de soporte y no recibirá el parche del 14. Pide un plan para pasarla a una rama con soporte.
- Haz una copia de seguridad de la base de datos y de los archivos antes de cada actualización.
- Reserva a alguien para el 14 de octubre en la franja de tu ciudad. La versión nueva saldrá en algún momento de esas cinco horas.
- Sigue el anuncio en la página de avisos de seguridad de drupal.org o en su RSS. Allí saldrán los números de versión que hay que instalar.
- Si la web la mantiene otra persona o un proveedor, pregúntale hoy: «¿En qué versión de Drupal está la web y quién instala el parche de seguridad del núcleo del 14 de octubre?».
Relacionado: Drupal: 26 avisos de seguridad en módulos, qué actualizar
Fuentes
- Drupal Security Team, «Upcoming critical Drupal core release on October 14, 2026 - PSA-2026-10-12», 12 de octubre de 2026 (en inglés)
- Drupal.org, historial de versiones del núcleo (en inglés)
- Drupal.org, «Security risk levels defined» (en inglés)
Actualizaciones: aquí se añadirá el número de las versiones corregidas cuando drupal.org las publique el 14 de octubre.