Votre site Drupal pourrait être piraté sans mot de passe : deux failles critiques à corriger vite

« Des exploits pourraient être développés en quelques heures ou en quelques jours. » L'avertissement vient de l'équipe de sécurité de Drupal, d'après BleepingComputer. Il a été publié le 12 octobre, en annonce de deux avis parus le 14 octobre, tous deux classés critiques : ils corrigent des failles qui pourraient permettre d'exécuter du code à distance sur un site Drupal. Ce gestionnaire de contenu équipe plus d'un million de sites, selon BleepingComputer.

Aucune attaque n'est signalée à ce stade. Les avis classent la maturité de l'exploit comme « théorique » : il n'existe ni code ni documentation publics. Mais la publication d'un correctif donne aux attaquants une carte de ce qui a changé. Dès le 12 octobre, Drupal avait demandé aux administrateurs de réserver du temps pour la mise à jour le jour de sa publication.

Une faille du cœur rendue accessible par les modules

La première faille, CVE-2026-108097 (avis SA-CORE-2026-014), se trouve dans Field UI, le module du cœur qui sert à gérer les champs des contenus. Elle a une particularité : le cœur seul ne permet pas de l'exploiter. Ce sont les modules complémentaires, développés par la communauté, qui ouvrent « plusieurs voies d'exploitation sérieuses », selon l'avis. Au moins une de ces voies ne demande aucune authentification. Du code développé sur mesure peut aussi exposer la fonction vulnérable.

La seconde, CVE-2026-108099 (avis SA-CONTRIB-2026-218), touche Entity List, un module complémentaire qui crée des listes d'entités sans passer par Views. Le schéma est le même : la faille n'est pas exploitable avec ce seul module, mais elle peut l'être en combinaison avec d'autres modules, là aussi sans authentification pour au moins un chemin connu.

Les deux failles obtiennent la note de 19 sur 25 dans le barème de risque de Drupal. La faille du cœur a été signalée par Drew Webber, de l'équipe de sécurité de Drupal, et par Octavio Galland.

Les versions à installer

• Drupal 11.4 : passer en 11.4.10 ;
• Drupal 11.3 : passer en 11.3.19 ;
• Drupal 10.6 : passer en 10.6.19 ;
• Entity List : passer en 3.0.10 ;
• les préversions de Drupal 12 antérieures à la 12.0.0-beta2 sont aussi touchées.

Les versions touchées remontent jusqu'à Drupal 8.9.0. Les branches 11.2 et antérieures, ainsi que 10.5 et antérieures, ne reçoivent plus de correctifs de sécurité. Si votre site tourne sur l'une d'elles, il faut d'abord migrer vers une branche maintenue.

Que faire si la mise à jour ne peut pas attendre ?

Drupal propose une solution de repli : désinstaller le module Field UI (field_ui) le temps de mettre le site à jour. Ce module sert aux réglages de structure dans l'interface d'administration. Les sites abonnés au service de protection Drupal Steward sont partiellement couverts : le service bloque certains vecteurs d'attaque connus, mais pas tous, précise l'avis.

Comme pour la faille critique de Magento cette semaine, le plus long n'est souvent pas la mise à jour elle-même mais l'inventaire : savoir quels sites, chez quel prestataire, tournent encore sur une branche oubliée. La prochaine étape à surveiller est l'apparition d'un premier code d'exploitation public.