Drupal : deux failles RCE critiques corrigées, exploitation proche

L'équipe de sécurité de Drupal a corrigé en octobre 2026 deux failles critiques d'exécution de code à distance, CVE-2026-108097 dans le module Field UI du cœur et CVE-2026-108099 dans le module contribué Entity List, et prévient que des exploits pourraient apparaître rapidement, d'après BleepingComputer (article du 17 octobre 2026).

Quelles sont les deux failles ?

CVE-2026-108097, référencée SA-CORE-2026-014, touche le module Field UI de Drupal. Le cœur seul ne permet pas de l'exploiter, mais des modules contribués offrent plusieurs chemins d'exploitation, dont au moins un sans authentification. Du code personnalisé peut aussi exposer la fonction vulnérable.

CVE-2026-108099, référencée SA-CONTRIB-2026-218, concerne le module Entity List. L'exploitation passe là aussi par des modules contribués ou du code sur mesure, avec au moins un chemin connu sans authentification. BleepingComputer qualifie les deux failles de critiques mais ne donne aucun score CVSS ; les versions touchées d'Entity List ne sont pas détaillées.

Quelles versions de Drupal sont concernées ?

Selon BleepingComputer, toutes les versions du cœur actuellement prises en charge sont concernées, ainsi que les préversions de Drupal 12 antérieures à la bêta 2, non destinées à la production. Drupal 12.0 final intègre les correctifs.

Les versions corrigées sont Drupal 10.6.19, 11.3.19 ou 11.4.10 selon la branche, et Entity List 3.0.10. Les branches Drupal antérieures à 10.6 et à 11.3 ne sont plus prises en charge : leurs sites doivent migrer, aucun correctif n'est mentionné pour elles.

Que faire concrètement ?

La priorité est de mettre à jour le cœur et Entity List. Si la mise à jour est impossible immédiatement, l'article indique que désinstaller le module Field UI constitue une parade efficace pour la faille du cœur ; ce module sert surtout à l'administration des champs et n'est souvent pas nécessaire en production. Drupal Steward, le service de protection du projet, bloque certains vecteurs connus mais pas tous les exploits possibles.

L'équipe avait publié un avis préalable (PSA-2026-10-12) en début de semaine et avait demandé de se préparer avant le 14 octobre. Elle y avertit que « des exploits pourraient être développés en quelques heures ou jours ». Le projet revendique plus d'un million de sites : même une fraction de sites en retard représente une surface importante.

Pourquoi le risque est-il difficile à mesurer ?

Dans les deux cas, le cœur ou le module ne suffit pas toujours à déclencher l'attaque : l'exploitation dépend des modules contribués installés et du code propre à chaque site. Un site peut donc être vulnérable sans que son administrateur le sache en regardant seulement la liste des modules. Les exploitants d'un site Drupal ont donc intérêt à vérifier à la fois les versions installées, les modules qui s'appuient sur Field UI et le code développé en interne, plutôt que de se fier uniquement au numéro de version du cœur.

Autre limite à garder en tête : l'article ne fournit ni score CVSS ni indicateur de compromission, et les détails techniques d'exploitation ne sont pas publics. Ces éléments pourraient changer le niveau d'urgence perçu, à la hausse comme à la baisse, une fois les analyses indépendantes publiées.

Source

• BleepingComputer — Drupal patches critical RCE flaws, warns exploits may emerge soon