Exécution de code à distance affectant Drupal Core
Une vulnérabilité affectant Drupal Core permettrait à un acteur malveillant d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Drupal est un système de gestion de contenu (CMS) open source largement utilisé pour la création et la gestion de sites web et d'applications en ligne. Ce produit est affecté par une vulnérabilité libellée CVE-2026-108097, résultant d'une validation insuffisante d'un paramètre (#region_callback) dans le module Field UI de Drupal Core. Son exploitation permettrait à un acteur malveillant d'exécuter du code arbitraire à distance sur le serveur affecté, notamment en présence de certains modules complémentaires ou de code personnalisé. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité des données ;
- Atteinte à la confidentialité des données.
Systèmes affectés
Produits, composants et versions concernés
- Drupal 8.9.0 à 10.6.x antérieures à 10.6.19 ;
- Drupal 11.0.x à 11.3.x antérieures à 11.3.19 ;
- Drupal 11.4.x antérieures à 11.4.10 ;
- Drupal 12.0.0-alpha1 à beta1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Drupal vers les versions 10.6.19, 11.3.19, 11.4.10 ou supérieures ;
- Désinstaller le module Field UI (field_ui) jusqu'à l'application des correctifs.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.