IMPORTANTE: Actualiza Drupal de forma inmediata

En días pasados Drupal informaba sobre una grave vulnerabilidad que afectaba a Drupal, lo cual obligó a los desarrolladores a tomarse un tiempo para resolverla en las versiones 7 y 8 del CMS.

En el aviso oficial se dio una fecha para la publicación del parche: 28 de marzo de 2018. Esto quiere decir que ya está disponible y aquellos que tengan una web montada con Drupal tienen que aplicarlo cuanto antes. La gravedad de la vulnerabilidad ha hecho que el parche haya sido portado hasta las versiones oficialmente sin mantenimiento como la 8.3 y la 8.4, aunque desde los desarrolladores del CMS insisten en actualizar a la versión 8.5 cuanto antes.

En un principio no se tenia detalles sobre qué tipo de vulnerabilidad era, pero ahora se sabe que se trata de una vulnerabilidad de ejecución de código remoto localizada en múltiples subistemas de Drupal. Los agujeros de seguridad abren la puerta a que el sitio web quede totalmente comprometido, y para explotarlos no se requiere de credenciales de acceso ni de ningún privilegio, por lo que cualquier visitante anónimo que tenga los conocimientos necesarios puede hacerse con el control total del sitio web, pudiendo hasta borrar y manipular datos que no son públicos (pertenecientes a la base de datos o al back office). Aunque de momento no está siendo explotada de forma activa, los desarrolladores de Drupal avisan de que eso podría empezar a ocurrir en cualquier momento.

Debido al riesgo de esta vulnerabilidad se recomienda a todos los que tengan una instalación de Drupal expuesta a Internet que apliquen el parche de seguridad cuanto antes, y también actualizar todo el CMS en caso de estar utilizando una versión descontinuada. Recordamos que el no tener una política de aplicación de parches diligente fue uno de los motivos del gran impacto que tuvo WannaCry, que hace un año causó estragos a muchas instituciones importantes.

En caso de seguir usando Drupal 6, un parche no oficial esta disponible aquí.

Fuente: Muy Seguridad
Más Información: The Register | Actualización de Drupal