Corrections publiées le 14 octobre
Drupal, système de gestion de contenu libre, a publié le 14 octobre des correctifs pour deux vulnérabilités critiques de type Remote Code Execution (RCE). Ces failles permettent, si elles sont exploitées, d’exécuter du code arbitraire à distance.
Première faille – CVE-2026-108097
Identifiée sous le bulletin SA-CORE-2026-014, cette vulnérabilité affecte le module Field UI du cœur de Drupal. Elle est classée « critique » avec un score de 19 sur 25, correspondant à un score CVSS de 9,8 sur 10, proche du maximum de dangerosité. Drupal précise que le cœur seul ne suffit pas à exploiter la faille, mais que plusieurs vecteurs existent via des modules contribuant développés par la communauté. Aucun module tiers n’est explicitement listé. La faille peut également être exploitée par du code propre au site. Au moins un des chemins d’exploitation ne nécessite aucune authentification.
Deuxième faille – CVE-2026-108099
Répertoriée sous le bulletin SA-CONTRIB-2026-218, elle concerne le module contribué Entity List, utilisé pour créer des listes d’entités sans recourir à Views. Comme pour la première, l’exploitation requiert l’interaction avec d’autres modules contribuant ou du code spécifique, avec au moins un vecteur sans authentification. Le score CVSS n’est pas encore publié, mais Drupal attribue également à cette faille la note de 19 sur 25, indiquant une gravité comparable.
Versions concernées et correctifs
Toutes les versions du cœur actuellement maintenues sont affectées. Les correctifs sont disponibles dans les versions 11.4.10, 11.3.19 et 10.6.19. Les branches 11.2.x et antérieures, ainsi que 10.5.x et antérieures, ne reçoivent plus de mises à jour de sécurité, et Drupal 8 et 9 sont en fin de vie. Pour le module Entity List, la mise à jour requise est la version 3.0.10.
Mesures d’atténuation
Drupal propose, pour la faille CVE-2026-108097, de désinstaller le module Field UI si la mise à jour ne peut pas être appliquée immédiatement. Aucun dispositif d’atténuation n’a été communiqué pour la vulnérabilité CVE-2026-108099.
Recommandations
Compte tenu de la sévérité de ces vulnérabilités, il est fortement recommandé de mettre à jour les sites concernés sans délai. Aucun indicateur d’exploitation active n’a été signalé au moment de la publication des bulletins.
Source : NEXT
Service
Maintenance et gestion de systèmes informatiques(Web, Mobile & Logiciel)
Service professionnel de gestion, de maintenance et d'optimisation pour vos applications web, mobiles et logiciels existants.
À partir de 55 000 F CFADécouvrir le service
