Vulnérabilité critique dans Drupal
.png)
Produits concernés
• Drupal core 11.4 versions antérieures à 11.4.10
• Drupal core 11.0 à 11.3 versions antérieures à 11.3.19
• Drupal core 8.9 à 10.6 versions antérieures à 10.6.19
• Drupal core 12.0.0-alpha1 à 12.0.0-beta1
Prérequis
• Module Field UI (field_ui) du noyau Drupal activé
• Présence d'un module complémentaire ou de code personnalisé exposant la fonctionnalité vulnérable
Risques
• Exécution de code arbitraire
• Déploiement de malware sur l'actif
• Vol de données
• Accès au réseau interne de l'entreprise
Résumé
Une vulnérabilité critique de type "Exécution de code arbitraire" affectant la solution Drupal a récemment été publiée par la Drupal Security Team le 14 octobre 2026.
Le niveau de criticité initial de cette vulnérabilité est de 9.8 (score CVSSv3.1), et de 19/25 selon le système d'évaluation de l'éditeur.
La solution Drupal est un système de gestion de contenu (CMS) open source utilisé pour la création et la gestion de sites web.
• CVE-2026-108097 : Une vulnérabilité dans le module Field UI du noyau Drupal pourrait permettre à un attaquant distant d'exécuter du code arbitraire sur le serveur hébergeant le site. Le noyau seul n'est pas directement exploitable, mais plusieurs chemins d'exploitation existent via des modules complémentaires, dont au moins un ne nécessite aucune authentification. Du code personnalisé peut également exposer la fonctionnalité vulnérable. L'exploitation de cette CVE pourrait permettre à l'attaquant de prendre le contrôle du serveur web, d'accéder aux données du site et de sa base de données, et de s'en servir comme point d'entrée vers le réseau interne.
À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants ou d'exploit public n'a été remontée.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un site est concerné ou compromis, vous pouvez :
• Vérifier si le module Field UI est activé, via l'interface d'administration (Extend) ou la commande drush pm:list --filter=field_ui
• Recenser les modules complémentaires et le code personnalisé installés sur le site
• Rechercher la présence de fichiers PHP inattendus dans l'arborescence du site, notamment dans les répertoires d'upload
• Analyser les journaux du serveur web et de Drupal à la recherche de requêtes inhabituelles ou de créations de processus anormales par le serveur web
Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.
Remédiation
Mettre à jour Drupal core vers les versions :
• 11.4.10 et ultérieures
• 11.3.19 et ultérieures de la branche 11.3
• 10.6.19 et ultérieures de la branche 10.6
• 12.0.0-beta2 et ultérieures pour les versions de test de Drupal 12
Les versions 11.2.x et antérieures, 10.5.x et antérieures, ainsi que Drupal 8 et 9, sont en fin de support et ne recevront pas de correctif : il est recommandé de migrer vers une version supportée.
Mitigation
En cas d'impossibilité de mettre à jour immédiatement, désinstaller le module Field UI du noyau Drupal (drush pm:uninstall field_ui puis drush cr). Le module pourra être réactivé une fois la mise à jour appliquée.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
