Alerta de Seguridad: Drupal lanza parches urgentes para el fallo CVE-2026-9082
El equipo de seguridad de Drupal ha emitido una actualización de emergencia para abordar una vulnerabilidad catalogada como «altamente crítica» en el núcleo de su sistema (Drupal Core). Este fallo, identificado como CVE-2026-9082, afecta específicamente a las implementaciones que utilizan bases de datos PostgreSQL, permitiendo a atacantes remotos comprometer la integridad y disponibilidad de los sitios web.
¿En qué consiste la vulnerabilidad?
El problema técnico reside en la API de abstracción de bases de datos de Drupal. Esta interfaz es la encargada de validar y sanear las consultas para evitar ataques de inyección SQL. Sin embargo, se ha descubierto que un atacante puede enviar solicitudes especialmente diseñadas que eluden estas protecciones cuando el sistema interactúa con PostgreSQL.
A pesar de que el sistema de puntuación CVSS le otorga un 6.5 sobre 10.0, la comunidad de Drupal lo ha calificado como crítico debido a que puede ser explotado por usuarios anónimos (sin necesidad de credenciales) para lograr:
- Ejecución remota de código (RCE): El atacante podría tomar el control total del servidor.
- Escalada de privilegios: Un usuario sin permisos podría obtener facultades de administrador.
- Divulgación de información: Acceso no autorizado a datos sensibles de la organización o de sus clientes.
Versiones afectadas y soluciones
La vulnerabilidad afecta a múltiples ramas de Drupal. Es imperativo que los administradores de sistemas y responsables de TI verifiquen sus versiones actuales. Las versiones que corrigen este fallo son:
- Drupal 11.3.10
- Drupal 11.2.12
- Drupal 11.1.10
- Drupal 10.6.9
- Drupal 10.5.10
- Drupal 10.4.10
Es importante destacar que las versiones de Drupal 8 y 9, que ya han alcanzado el fin de su vida útil (EOL), han recibido parches manuales de forma excepcional debido a la gravedad del asunto. No obstante, desde Intedya recordamos que mantener software fuera de soporte representa un riesgo sistémico para cualquier empresa.
Recomendaciones para el entorno empresarial
Desde una perspectiva de gestión de riesgos y continuidad de negocio, recomendamos las siguientes acciones inmediatas:
- Actualización inmediata: Priorizar el despliegue de los parches en entornos de producción que utilicen PostgreSQL.
- Revisión de dependencias: Las nuevas versiones de Drupal también incluyen actualizaciones de seguridad para Symfony y Twig, componentes críticos del ecosistema PHP.
- Auditoría de Logs: Verificar si ha habido solicitudes inusuales hacia la API de base de datos en los días previos a la actualización.
La ciberseguridad no es un estado estático, sino un proceso de vigilancia constante. Mantener las plataformas actualizadas es el primer paso para proteger los activos digitales de su organización.
Fuentes
- The Hacker News — Highly Critical Drupal Core Flaw Exposes PostgreSQL Sites to RCE Attacks
https://thehackernews.com/2026/05/highly-critical-drupal-core-flaw.html