Drupal corrige deux failles critiques d'exécution de code à distance
Les correctifs concernent le module Field UI du cœur de Drupal et le module contributif Entity List ; les administrateurs sont invités à mettre à jour sans délai.
Drupal a publié le 17 octobre 2026 des correctifs pour deux vulnérabilités critiques permettant l'exécution de code à distance sur les sites faisant tourner des versions prises en charge du système de gestion de contenu, rapporte bleepingcomputer.com. Les failles touchent le module Field UI du cœur de Drupal et le module contributif Entity List.
CVE-2026-108097 est une faille d'exécution de code à distance dans le module Field UI du cœur de Drupal. CVE-2026-108099 est une faille du même type dans le module contributif Entity List. Selon l'avis publié pour CVE-2026-108097, la première ne peut pas être exploitée avec le seul cœur de Drupal, mais des modules contributifs peuvent fournir des chemins d'exploitation, dont au moins un ne nécessite aucune authentification. L'exploitation de CVE-2026-108099 requiert une interaction similaire avec des modules contributifs ou du code personnalisé, et inclut au moins un chemin non authentifié connu.
Versions à installer
Les administrateurs sont invités à mettre à jour le cœur de Drupal vers 10.6.19, 11.3.19 ou 11.4.10 selon la branche utilisée, et Entity List vers 3.0.10. Les préversions de Drupal 12 antérieures à beta2 sont affectées ; la version stable 12.0 intégrera les correctifs des deux failles.
Les administrateurs qui ne peuvent pas mettre à jour sont invités à désinstaller le module Field UI du cœur (field_ui) comme mesure d'atténuation. Drupal Steward protège contre certains vecteurs d'attaque connus, mais pas contre toutes les exploitations possibles.
En début de semaine, le projet avait lancé un avertissement préalable demandant aux administrateurs d'appliquer les mises à jour rapidement, au motif que des exploits pourraient être développés en quelques heures ou quelques jours. Drupal avait aussi recommandé de passer à la dernière version corrective prise en charge avant le 14 octobre, afin de régler les problèmes de mise à niveau avant la fenêtre de sécurité. Le projet avait indiqué plus tôt dans la semaine que toutes les versions actuellement prises en charge du cœur de Drupal sont affectées ; selon son site, plus d'un million de sites fonctionnent sous Drupal. Toutes les versions antérieures à 10.6.x et toutes les versions 11 antérieures à 11.3.x sont en fin de vie et ne sont plus prises en charge.
En bref
Quelles versions de Drupal faut-il installer ?
Le cœur de Drupal doit être mis à jour vers 10.6.19, 11.3.19 ou 11.4.10 selon la branche, et le module Entity List vers 3.0.10.
Que faire si je ne peux pas mettre à jour tout de suite ?
Drupal conseille de désinstaller le module Field UI du cœur (field_ui) comme mesure d'atténuation.
Les préversions de Drupal 12 sont-elles concernées ?
Oui, les préversions antérieures à beta2 sont affectées ; la version stable 12.0 intégrera les correctifs des deux failles.