Drupal patches critical RCE flaws, warns exploits may emerge soon
Mis à jour :
Vulnérabilités critiques de RCE dans Drupal : Mise à jour urgente requise
Drupal a corrigé deux failles critiques permettant l’exécution de code à distance (RCE) sur toutes les versions supportées du CMS. L’équipe de sécurité alerte sur une exploitation probable imminente et exhorte les administrateurs à mettre à jour leurs systèmes sans délai.
Points clés :
- Les vulnérabilités affectent le cœur de Drupal (Field UI) et le module contribuable “Entity List”.
- Certains vecteurs d’attaque ne nécessitent aucune authentification.
- Le risque est aggravé par l’interaction possible avec des modules tiers ou du code personnalisé.
- Plus d’un million de sites web sont potentiellement exposés.
Vulnérabilités :
- CVE-2026-108097 : Faille RCE dans le module Field UI du cœur de Drupal.
- CVE-2026-108099 : Faille RCE dans le module contribuable Entity List.
Recommandations :
- Mise à jour immédiate : Passer aux versions sécurisées : Drupal 10.6.19, 11.3.19, 11.4.10, et le module Entity List en version 3.0.10.
- Mesure d’atténuation : Si la mise à jour est impossible, désinstallez le module Field UI (field_ui).
- Environnements obsolètes : Les versions antérieures à 10.6.x et 11.3.x ne sont plus supportées et doivent être mises à jour en priorité.