☕️ Drupal colmate deux failles critiques exploitables à distance

Drupal, une solution libre de CMS (système de gestion de contenu), a corrigé le 14 octobre deux failles critiques de type RCE (Remote Code Execution). Elles permettent donc, si exploitées, de faire exécuter un code arbitraire à distance. La première faille, CVE-2026-108097 (bulletin SA-CORE-2026-01…

Résumé

Drupal et ses failles critiques

Drupal est un système de gestion de contenu (CMS) libre, largement utilisé pour créer et gérer des sites web.

Le 14 octobre 2026, l'équipe de Drupal a annoncé la correction de deux failles critiques, appelées Remote Code Execution (RCE), qui permettent à un attaquant d'exécuter du code à distance sur un serveur.

Ces failles, nommées CVE-2026-108097 et CVE-2026-108099, sont particulièrement dangereuses car elles peuvent être exploitées sans authentification, c'est-à-dire sans besoin de se connecter au site.

La première faille, classée « critique » avec un score de 9,8 sur 10 sur l'échelle CVSS (qui mesure la gravité des vulnérabilités), touche le module Field UI intégré au cœur de Drupal.

Le score de 9,8 signifie que la faille est extrêmement grave, presque maximale.

La deuxième faille, également classée « critique » avec un score de 19 sur 25 selon la notation interne de Drupal, affecte le module contribué Entity List, utilisé pour créer des listes d'éléments sans passer par le module Views.