Drupal anunció el lanzamiento programado de una actualización de seguridad del núcleo para todas las ramas compatibles, prevista para el 20 de mayo de 2026 en una ventana entre las 17:00 y las 21:00 UTC. El equipo de seguridad de Drupal advirtió de que podrían aparecer exploits en cuestión de horas o días tras la publicación y llamó a los administradores a reservar tiempo para actualizar de inmediato. Se ven afectadas las ramas Drupal 11.3.x, 11.2.x, 10.6.x y 10.5.x, así como —a modo de excepción— versiones menores ya obsoletas. Según se indica, Drupal 7 no es vulnerable a este problema.

Qué se sabe sobre la vulnerabilidad

La naturaleza exacta de la vulnerabilidad aún no se ha revelado: no se dispone de identificador CVE ni de puntuación CVSS. Sin embargo, varios indicios indirectos apuntan a un problema de alta gravedad:

• Drupal ha tomado la inusual decisión de publicar parches para las ramas menores obsoletas 11.1.x y 10.4.x, que ya no reciben soporte regular.
• El equipo de seguridad ha advertido explícitamente de la posibilidad de una rápida aparición de exploits tras la publicación de los detalles.
• Para los sitios que usan versiones principales totalmente obsoletas (Drupal 8 y 9) se han preparado parches manuales, una medida que solo se aplica en casos de amenazas graves.

Según la página oficial del calendario de lanzamientos de Drupal, no todas las configuraciones se ven afectadas por la vulnerabilidad. La información sobre las posibles medidas de mitigación se incluirá en el boletín de seguridad que se publicará el día del lanzamiento del parche.

Versiones afectadas y objetivos de actualización

Se esperan parches para las siguientes ramas compatibles de Drupal core:

• 11.3.x
• 11.2.x
• 10.6.x
• 10.5.x

Para los sitios que usan versiones menores obsoletas de Drupal, se han proporcionado las siguientes recomendaciones de actualización previa:

• Sitios en Drupal 11.1 o 11.0: actualizar al menos a Drupal 11.1.9.
• Sitios en Drupal 10.4, 10.3, 10.2, 10.1 o 10.0: actualizar al menos a Drupal 10.4.9.
• Sitios en cualquier versión de Drupal 9: actualizar a 9.5.11.
• Sitios en cualquier versión de Drupal 8: actualizar a 8.9.20.

Para Drupal 8.9 y 9.5 se proporcionarán archivos de parche que será necesario aplicar manualmente. Drupal advirtió que no existe garantía de funcionamiento correcto de estas correcciones: pueden provocar regresiones u otros problemas. No obstante, según se indica, estos parches pueden ayudar a mitigar la vulnerabilidad hasta que se complete la migración a una versión compatible.

Evaluación del impacto

Drupal sigue siendo uno de los CMS de nivel corporativo más extendidos, ampliamente utilizado por organismos gubernamentales, instituciones educativas y grandes empresas. La decisión de publicar parches incluso para versiones que llevan tiempo fuera de soporte indica que el equipo de seguridad considera que el impacto potencial es significativo.

La situación resulta especialmente preocupante para los sitios basados en Drupal 8 y 9. Drupal ha señalado explícitamente que estas versiones principales contienen numerosas vulnerabilidades previamente divulgadas, que no serán corregidas ni por el programa Drupal Steward ni por los parches proporcionados. Esto significa que, incluso tras aplicar la corrección de emergencia, dichos sitios seguirán siendo vulnerables a otros ataques ya conocidos.

Recomendaciones prácticas

Para minimizar los riesgos antes y durante la ventana de actualización del 20 de mayo, se recomienda el siguiente plan de acción:

1. Antes del 20 de mayo: actualice el sitio al último parche disponible para su rama de Drupal. Esto permitirá resolver por adelantado posibles problemas de compatibilidad y facilitará la aplicación de la actualización de seguridad.
2. 20 de mayo, 17:00–21:00 UTC: siga la publicación del boletín de seguridad en la página del calendario de lanzamientos de Drupal. Determine si su configuración se ve afectada y aplique el parche de inmediato.
3. Para sitios en Drupal 8 y 9: aplique los parches manuales para las versiones 8.9 y 9.5, respectivamente, pero planifique la migración a Drupal 10.6 o superior en el corto plazo.
4. Después de la actualización: los sitios en versiones menores obsoletas (11.1.x, 10.4.x) deben pasar lo antes posible a ramas compatibles, como Drupal 11.3 o 10.6.

Los administradores de sitios que utilizan ramas compatibles de Drupal 10.x y 11.x deben actualizar ya el núcleo al último parche disponible de su rama actual y, el 20 de mayo, aplicar con rapidez la actualización de seguridad dentro de la ventana anunciada. Para los sitios basados en Drupal 8 y 9 es crucial no limitarse al parche de emergencia, sino iniciar la planificación de una migración completa a Drupal 10.6 o una versión más reciente: solo así se garantizará la protección frente a la deuda técnica acumulada en materia de seguridad.