Avisos de seguridad de Drupal, PHP y Node en octubre de 2026: qué conviene tocar ya
Resumen de los avisos críticos de Drupal core (14 oct), PHP (21 oct) y Node.js (21 oct), con versiones parcheadas y enlaces oficiales. Sin alarmismo.
Octubre de 2026 ha dejado varias ventanas de seguridad que afectan a casi cualquier stack web serio. En sitios Drupal el núcleo y el runtime PHP son lo primero. Si además tienes Node en front, CI o APIs, esa misma semana también hubo parche. No hace falta dramatizar. Sí hace falta actualizar con criterio y comprobar dependencias.
Drupal core el 14 de octubre
El 14 de octubre el equipo de seguridad de Drupal publicó SA-CORE-2026-014 (CVE-2026-108097). Es un aviso crítico de ejecución remota de código ligado al módulo Field UI. No se explota solo con el core en todos los casos, pero existen rutas serias con módulos contribuidos y, al menos en una, sin autenticación. Mientras se actualiza, una mitigación temporal es desinstalar field_ui.
En la misma ventana salieron dos XSS moderados del core: SA-CORE-2026-015 (módulo Link, CVE-2026-108515) y SA-CORE-2026-016 (Navigation, CVE-2026-108514).
Versiones a las que hay que subir, según la rama soportada:
- Drupal 10.6.x → 10.6.19
- Drupal 11.3.x → 11.3.19
- Drupal 11.4.x → 11.4.10
Las ramas por debajo de esas ya no reciben cobertura de seguridad. Si aún estás en Drupal 10.5 o inferior, o en 11.2 o inferior, el problema no es solo este parche. Es el fin de soporte. Lo hemos desglosado en Drupal 10 llega al fin de vida en diciembre de 2026.
PHP el 21 de octubre
El 21 de octubre PHP publicó parches críticos para CVE-2026-109618 y CVE-2026-109619. En conjunto se habla de ejecución remota de código sin autenticación en instalaciones que sirven peticiones web (PHP-FPM, mod_php, php-cgi y otros). El riesgo se considera especialmente alto en Apache con mod_php. El aviso oficial está en php.net. Drupal lo reforzó con el PSA-2026-10-20.
Versiones mínimas seguras en las ramas activas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Actualizar es la única mitigación completa. Las medidas temporales del aviso (límites de memoria y POST, desactivar session.upload_progress, etc.) reducen algunas rutas, no dejan el sistema seguro. PHP 8.1 y anteriores ya no reciben parches del proyecto. Hay que ir a un vendor LTS o subir de versión.
El 23 de octubre PHP añadió una nota informativa sobre session.upload_progress y un vector poco habitual (CVE-2026-115560 previsto para el siguiente ciclo). Si aún no has puesto session.upload_progress.enabled=0 donde aplica, conviene hacerlo hasta el próximo bugfix.
Node.js el 21 de octubre
El mismo 21 de octubre el proyecto Node.js publicó releases de seguridad para las líneas 26.x, 24.x y 22.x. El aviso está en nodejs.org. Entre los fallos hay varios de severidad alta, incluido CVE-2026-111497 en el decodificador Brotli (corrupción de memoria con riesgo de ejecución remota si se descomprime entrada controlada por un atacante).
Versiones parcheadas:
- Node.js 26.12.1
- Node.js 24.22.1
- Node.js 22.23.4
Node.js 20.x ya está fuera de soporte y no recibe este parche. Tras actualizar, hay que reiniciar los procesos que sigan en memoria (servidores, workers, CI).
Qué haríamos nosotros en un sitio en producción
- Comprobar la versión exacta de Drupal core, de PHP y, si aplica, de Node en cada entorno.
- Aplicar el security release de core (o el salto a una rama soportada si estás fuera de cobertura).
- Actualizar PHP a una de las versiones listadas arriba, preferiblemente vía paquetes del proveedor.
- Actualizar Node en front, APIs y pipelines que aún no estén en esas versiones.
- Revisar módulos contribuidos instalados frente a drupal.org/security.
- Probar login, edición de campos, menús y navegación admin tras el deploy.
- Dejar documentado el día del parche y la versión resultante.
Si gestionas el hosting tú, reserva una ventana corta y hazlo. Si el hosting lo gestiona un tercero, pide por escrito qué versión de PHP y de Node corre y cuándo aplican el paquete.