El parche crítico de Drupal del 14 de octubre de 2026 exige actualizar: hacerlo a tiempo cuesta mucho menos que un sitio hackeado.
Qué pasa el 14 de octubre y por qué le importa a tu pyme
El equipo de seguridad de Drupal libera ese día, entre las 16:00 y las 21:00 UTC, una corrección de riesgo alto para todas las ramas soportadas. No es un anuncio solo para desarrolladores: es una fecha límite para tu negocio. Lo que hagas al respecto cuesta mucho menos que lo que cuesta no hacer nada.
El Drupal Security Team publicó un aviso previo (PSA) en el que confirma un parche crítico de core para todas las ramas soportadas, con una puntuación de riesgo de 19 sobre 25. Afecta a Drupal 11.4.x, 11.3.x, 10.6.x y a la beta de Drupal 12, y la recomendación oficial es actualizar al último parche disponible antes de esa ventana. Puedes consultar el aviso en la página de anuncios de seguridad de drupal.org.
La ventana horaria tiene una razón: Drupal da a los equipos de mantenimiento unas horas de ventaja para aplicar el parche antes de que el detalle del fallo sea público. Si tu sitio queda sin actualizar al final del día, quedas expuesto desde ese momento.
Para una pyme esto no significa "hay un bug": significa que existe una vulnerabilidad conocida, documentada y ligada a la versión de Drupal que corre tu sitio. Cualquier persona que lea el anuncio sabe exactamente qué buscar. Un sitio en Drupal 10.6 o anterior, sin nadie que lo revise, es un blanco con la puerta sin llave.
Antes de esa fecha, lo único que necesitas verificar es en qué versión estás. Se hace con Drush desde la raíz del proyecto:
drush status
# revisa la línea "Drupal version"
Si tu plan de hosting no incluye Drush, entra a /admin/reports/status: la versión de core aparece en la parte superior.
Cuánto cuesta actualizar a tiempo frente a reaccionar a un hackeo
Actualizar a tiempo es barato. Un plan de mantenimiento preventivo en Colombia, para un sitio Drupal de una pyme, suele moverse en un rango estimado de $300.000 a $800.000 pesos mensuales, según la criticidad del sitio, la cantidad de módulos y si es solo un sitio informativo o un ecommerce que procesa pagos. Incluye aplicar parches de seguridad, actualizar módulos contribuidos y vigilar el entorno.
Un parche crítico puntual, de emergencia, es más caro por hora porque interrumpe la agenda del proveedor. Una intervención aislada puede costar entre $400.000 y $1.500.000 pesos estimados, según la complejidad y si hay que hacerla fuera de horario. La diferencia con el mantenimiento mensual no es el precio de la hora: es que en el plan ya hay alguien mirando.
El costo de un sitio hackeado es otra escala. Cuando un sitio se compromete, el gasto no es solo limpiarlo:
- Limpieza y restauración desde un respaldo confiable.
- Análisis de cómo entraron y cierre del hueco, o vuelven a entrar.
- Pérdida de ventas mientras el sitio está caído o marcado como inseguro.
- Penalización en Google si el sitio distribuye malware; recuperar la reputación tarda semanas.
- Notificación a clientes si hubo fuga de datos, con el costo reputacional que eso trae.
No necesitas un incidente propio para ver el patrón. Un estudio de Kaspersky citado por El Tiempo encontró que 31% de las pymes latinoamericanas consultadas reportó pérdidas económicas por su peor incidente de seguridad, con phishing y credenciales débiles a la cabeza (El Tiempo). Esa cifra no distingue si el sitio era Drupal o WordPress, pero confirma algo: las pymes pierden dinero real por seguridad, no solo tiempo.
Drupal 10 termina soporte el 9 de diciembre: la cuenta de esperar
Hay una segunda fecha que pesa más que el parche del 14 de octubre. Drupal 10 llega a su fin de soporte el 9 de diciembre de 2026, la misma semana en que se libera Drupal 12. Puedes confirmarlo en la lista oficial de publicaciones en drupal.org.
A partir de ese momento, Drupal 10 deja de recibir parches de seguridad. Si tu sitio sigue ahí, cada fallo que se descubra después no tendrá corrección oficial: quedarás expuesto de forma permanente.
Qué pasa si tu sitio quedó en Drupal 10 o anterior
El sistema de actualización de Drupal no permite saltar de forma directa desde 11.2 o versiones anteriores. En la práctica, esto obliga a una ruta por etapas: primero subir a Drupal 11.4 o superior, validar, y solo después planear el salto a Drupal 12. No es un detalle técnico menor: es lo que hace que esperar al último mes sea tan caro.
Si el 1 de diciembre descubres que tu sitio necesita migración, no vas a encontrar quién la haga en una semana. Los equipos de desarrollo tienen agenda, y diciembre es el peor mes para pedir urgencias. La actualización deja de ser un proyecto planificado y se convierte en un incendio.
Una actualización mayor combina varias tareas:
- Auditar los módulos contribuidos y verificar que tengan versión compatible.
- Actualizar dependencias con Composer.
- Ejecutar las actualizaciones de base de datos.
- Revisar el tema y las personalizaciones del sitio.
- Probar en un entorno separado antes de tocar producción.
El paso que casi todas las pymes se saltan es el 5. Nunca actualices directo en producción:
# En un entorno de staging, nunca en producción sin respaldo
composer update drupal/core "drupal/core-*" --with-all-dependencies
drush updatedb
drush cache:rebuild
Ese --with-all-dependencies es obligatorio: sin él, Composer puede dejar dependencias en conflicto y romper el sitio. Y antes de cualquier comando, verifica que tienes un respaldo reciente de archivos y base de datos.
Mantenimiento preventivo frente a parches de emergencia: cómo decidir
La decisión no debería depender de cuánto te guste pagar mantenimiento, sino de qué tan grave sería que el sitio se caiga o se comprometa. Usa estos criterios:
- Si el sitio genera ventas o recibe leads, el mantenimiento preventivo se paga solo. Un día caído cuesta más que la mensualidad.
- Si el sitio es informativo y de bajo tráfico, puede bastar un plan mínimo con parches de seguridad y respaldos automáticos.
- Si nadie en tu equipo sabe qué versión de Drupal tienes, tienes un problema de visibilidad antes que de presupuesto. Empieza por ahí.
- Si el sitio lo hizo un proveedor que ya no te responde, un contrato de mantenimiento es la forma más rápida de recuperar el control.
Hay costos que casi nunca se calculan: cada incidente consume el tiempo de la persona que "apaga incendios" en tu empresa, tiempo que no dedica a su trabajo. Y los parches de emergencia siempre se pagan a tarifa de urgencia.
Un criterio práctico: compara el costo anual del mantenimiento con el costo de un solo incidente. Si el mantenimiento anual estimado (por ejemplo, entre $4 y $9 millones al año para un ecommerce) es menor que lo que perderías en una semana de sitio caído, la decisión ya está tomada.
Lo que sigue es concreto: revisa hoy tu versión de Drupal, confirma si estás en 11.4 o superior y agenda la actualización antes del 9 de diciembre. Si no tienes a nadie que lo haga, este es el momento de delegarlo.
Preguntas frecuentes
¿Qué debo hacer antes del 14 de octubre de 2026?
Verifica tu versión de Drupal y aplica el último parche disponible de tu rama antes de esa fecha. Si tienes un proveedor de mantenimiento, confirma que ya lo tenga agendado. Si no lo tienes, ese día es el recordatorio de que necesitas a alguien que lo haga por ti.
¿Qué pasa si no actualizo a Drupal 11 antes del 9 de diciembre?
Drupal 10 deja de recibir parches de seguridad. A partir de esa fecha tu sitio queda expuesto de forma permanente a cualquier fallo futuro. Además, la ruta se alarga, porque no se puede saltar de 11.2 o anteriores directamente a la versión más nueva.
¿Cuánto cuesta mantener un sitio Drupal en Colombia?
Depende del tamaño del sitio, los módulos y si es ecommerce. Un plan preventivo para una pyme suele ubicarse entre $300.000 y $800.000 pesos mensuales estimados. Comparado con el costo de un sitio hackeado, casi siempre es la opción más económica.
¿Necesito contratar mantenimiento si el sitio lo hizo otra empresa?
Sí, si esa empresa ya no te responde o no incluye actualizaciones en su contrato. Un contrato de mantenimiento te devuelve visibilidad sobre qué versión tienes y quién aplica los parches. Se puede empezar con una auditoría del estado actual.
¿Se puede actualizar Drupal sin tirar el sitio?
Sí, si se hace en un entorno de staging con respaldo previo y pruebas. El error más común es actualizar directo en producción. Con un entorno separado y un plan de reversa, la actualización se hace sin afectar a los usuarios.
En Saibher desarrollamos y mantenemos sitios y ecommerce en Drupal con licencia vitalicia, sin mensualidad, además de ERP y POS a medida para pymes colombianas. Escríbenos por el formulario de contacto o por WhatsApp desde saibher.com y te enviamos una cotización sin compromiso, con el diagnóstico de tu versión actual incluido.
