☕️ Drupal colmate deux failles critiques exploitables à distance
Drupal, une solution libre de CMS (système de gestion de contenu), a corrigé le 14 octobre deux failles critiques de type RCE (Remote Code Execution). Elles permettent donc, si exploitées, de faire exécuter un code arbitraire à distance.
Drupal est un système de gestion de contenu (CMS) libre, largement utilisé pour créer et gérer des sites web. Le 14 octobre 2026, l'équipe de Drupal a annoncé la correction de deux failles critiques, appelées Remote Code Execution (RCE), qui permettent à un attaquant d'exécuter du code à distance sur un serveur. Ces failles, nommées CVE-2026-108097 et CVE-2026-108099, sont particulièrement dangereuses car elles peuvent être exploitées sans authentification, c'est-à-dire sans besoin de se connecter au site. La première faille, classée « critique » avec un score de 9,8 sur 10 sur l'échelle CVSS (qui mesure la gravité des vulnérabilités), touche le module Field UI intégré au cœur de Drupal. Le score de 9,8 signifie que la faille est extrêmement grave, presque maximale. La deuxième faille, également classée « critique » avec un score de 19 sur 25 selon la notation interne de Drupal, affecte le module contribué Entity List, utilisé pour créer des listes d'éléments sans passer par le module Views.
Les deux failles ne peuvent pas être exploitées directement via le cœur de Drupal, mais nécessitent l'utilisation de modules tiers créés par la communauté ou du code spécifique au site. Ces modules, appelés modules contribués, sont des extensions développées par des utilisateurs et non par l'équipe officielle de Drupal. Pour la première faille, au moins un chemin d'exploitation ne requiert aucune authentification, ce qui signifie qu'un attaquant pourrait agir sans avoir besoin de se connecter. La deuxième faille présente les mêmes caractéristiques, avec au moins un chemin d'exploitation sans authentification. Les scores élevés de ces failles indiquent qu'elles pourraient permettre des actions malveillantes graves, comme le vol de données, la prise de contrôle du site ou l'installation de logiciels malveillants. Aucune exploitation active de ces failles n'a été signalée au moment de la publication des correctifs.
Toutes les versions de Drupal actuellement supportées sont concernées par ces failles. Les correctifs sont disponibles dans les versions 11.4.10, 11.3.19 et 10.6.19 du cœur de Drupal. Pour le module Entity List, la version 3.0.10 corrige la vulnérabilité. Les versions antérieures à 11.3.x et 10.5.x ne reçoivent plus de mises à jour de sécurité, ce qui les rend vulnérables. Drupal 8 et 9 sont également en fin de vie et ne sont plus maintenus. Pour atténuer temporairement la première faille, Drupal propose de désinstaller le module Field UI, mais aucune mesure similaire n'a été suggérée pour la deuxième faille. Il est fortement recommandé d'appliquer les correctifs dès que possible pour éviter tout risque d'exploitation.
Face à la gravité de ces failles, Drupal recommande vivement de mettre à jour les sites concernés sans délai. Pour la première faille, une solution temporaire consiste à désinstaller le module *Field UI*, mais cette mesure n'est pas définitive. Aucune solution temporaire n'a été proposée pour la deuxième faille. Les administrateurs de sites Drupal doivent donc appliquer les correctifs disponibles dans les versions indiquées ou mettre à jour les modules concernés. Il est également conseillé de surveiller les annonces officielles de Drupal pour d'éventuelles nouvelles mesures ou correctifs complémentaires. Aucune exploitation de ces failles n'ayant été détectée à ce jour, une mise à jour rapide permet de prévenir tout risque futur.
