veilletech.frCe qui se passe
Le 14 octobre 2026, l'équipe sécurité de Drupal a corrigé une faille critique dans Field UI, le module du cœur qui sert aux pages d'administration où l'on gère les champs et leur affichage. Elle porte la référence CVE-2026-108097 (avis SA-CORE-2026-014) et un risque de 19 sur 25 selon l'échelle propre à Drupal, le niveau « critique ».
Le cœur seul ne suffit pas à l'atteindre. Plusieurs chemins passent par des modules contribués, dont au moins un sans connexion ; l'avis ne les nomme pas, et du code sur mesure peut aussi les ouvrir. Le signalement est crédité à Drew Webber (équipe sécurité) et Octavio Galland. Aucun code d'exploitation public n'existait au 15 octobre.
Le mécanisme
Field UI construit ses tables d'administration à partir de render arrays, les
tableaux PHP que Drupal transforme en HTML. Avant le correctif, l'étape de
pré-rendu de l'élément table exécutait, par call_user_func_array, la fonction
PHP portée par la propriété #region_callback de chaque ligne, sans vérifier de
quelle fonction il s'agissait.
Le rendu refuse d'exécuter des callbacks non fiables depuis Drupal 8.8 (2019), mais il fait confiance aux méthodes de l'élément table lui-même : il a lancé le pré-rendu, et la vérification n'a jamais atteint la fonction que ce pré-rendu appelait ensuite. Cet appel était dans le code depuis au moins Drupal 8.9.0 (2020).
Le correctif de la 11.4.10 n'appelle plus le callback : la région d'une ligne
vient de sa propre valeur, et à défaut d'une région connue, de la région cachée de
la table ou de la première. Dans le cœur, seul Field UI renseignait ce callback ;
du code sur mesure qui le définissait sur une ligne field_ui_table ne
s'exécutera plus. Pantheon conseille de tester les pages de gestion des champs et
d'affichage après la mise à jour.
Que faire
| Branche | Version corrigée |
|---|---|
| Drupal 11.4.x | 11.4.10 |
| Drupal 11.3.x | 11.3.19 |
| Drupal 10.6.x | 10.6.19 |
| Drupal 12.0.0 bêta | 12.0.0-beta2 (pas pour la production) |
| 11.2.x et avant, 10.5.x et avant, 8, 9 | aucun correctif, fin de vie |
| Drupal 7 | 7.107, rétroportage du support à long terme Pantheon et Tag1 |
- Les branches 11.3.x et 10.6.x perdent leur couverture sécurité en décembre 2026.
- Sans mise à jour immédiate, désinstaller le module
field_uiprotège le temps de patcher, au prix des pages d'administration des champs. Le profil d'installation Standard l'active, donc un site issu de ce profil l'a, sauf retrait volontaire. - Le service Drupal Steward (pare-feu applicatif aux règles écrites par l'équipe sécurité, proposé par Acquia, Pantheon, Ironstar et Skpr) bloque déjà certains vecteurs, sans couvrir tous les cas.
- Entity List a son propre avis critique, CVE-2026-108099 (SA-CONTRIB-2026-218), corrigé en 3.0.10 : mettre à jour le cœur ne met pas le module à jour. 90 sites l'utilisaient la semaine du 4 octobre.
- Les mêmes publications corrigent deux failles XSS modérément critiques, qui exigent un utilisateur connecté : module Link (CVE-2026-108515, SA-CORE-2026-015) et module Navigation (CVE-2026-108514, SA-CORE-2026-016).
Pourquoi ne pas attendre
Drupal avait annoncé la publication le 12 octobre (PSA-2026-10-12) en demandant de réserver du temps, car des exploits peuvent apparaître en quelques heures ou quelques jours. En mai, une injection SQL du cœur a été attaquée dans les deux jours suivant son avis, puis ajoutée au catalogue de la CISA. Et la semaine du 4 octobre, 151 442 des 531 499 sites déclarant leur version à drupal.org (28,5 %) tournaient sur une branche touchée et sans correctif.
Source : The Hacker News, 15 octobre 2026, qui renvoie à l'avis SA-CORE-2026-014.