🚨 CVE-2026-9082 : Vulnerabilidad de Inyección SQL en Drupal Core

Vulnerabilidad de Inyección SQL de Alto Impacto en Drupal Core (PostgreSQL)

📋 Resumen

CVE-2026-9082 es una vulnerabilidad de Inyección SQL en la capa de abstracción de base de datos de Drupal Core. Afecta solo a sitios que usan PostgreSQL como backend de base de datos.

La vulnerabilidad permite a atacantes no autenticados realizar inyección SQL arbitraria, potencialmente conduciendo a fuga de datos, escalada de privilegios y, en el peor de los casos, ejecución remota de código.

⚠️ Este es un aviso de seguridad crítico del mundo real (SA-CORE-2026-004)

🛡️ Gravedad

Evaluación interna de Drupal: Altamente crítica (especialmente para sitios con PostgreSQL).

📌 Versiones afectadas

No afectadas:

• Drupal 7.x (todas las versiones)
• Sitios que usan MySQL o MariaDB
• Sitios que usan SQLite

🔧 Mitigación

Acción inmediata

Actualice Drupal Core inmediatamente a una de las versiones corregidas listadas arriba.

Comandos rápidos

# Usando Composer (recomendado)
composer update drupal/core-recommended --with-dependencies

# O actualizar a una versión segura específica
composer require drupal/core:11.3.10

Recomendaciones adicionales

• Habilitar actualizaciones automáticas si es posible
• Revisar registros de base de datos en busca de consultas sospechosas
• Considerar reglas temporales de WAF que bloqueen cargas útiles específicas de PostgreSQL si el parcheo se retrasa

🛠 Detalles técnicos

• Tipo de vulnerabilidad: Neutralización incorrecta de elementos especiales usados en un comando SQL ('Inyección SQL')
• Ubicación: API de abstracción de base de datos de Drupal Core
• Explotable por: Usuarios anónimos / no autenticados
• Activación: Ciertas consultas de base de datos que usan características específicas de PostgreSQL

📚 Referencias

• Aviso oficial: SA-CORE-2026-004
• Entrada CVE: CVE-2026-9082
• Equipo de seguridad de Drupal