CVE-2026-108097 : Drupal RCE Field UI sans authentification

Les faits

Le 14 octobre 2026, le Drupal Security Team a publié l'avis de sécurité relatif à CVE-2026-108097, une vulnérabilité critique affectant le module Field UI de Drupal Core. Avec un score de risque de 19 sur 25 selon la méthodologie de risque Drupal — équivalent à une criticité haute/critique dans d'autres nomenclatures — cette faille expose potentiellement des millions de sites web construits sur le CMS open source le plus déployé dans les administrations publiques et les institutions d'enseignement supérieur à travers le monde.

La nature technique de la vulnérabilité est précisément documentée par l'advisory Drupal : il s'agit de rappels PHP (PHP callbacks) non contrôlés lors du rendu des tableaux dans le module Field UI. Le module Field UI est un composant fondamental de Drupal Core, responsable de l'interface d'administration permettant aux utilisateurs de créer et configurer des types de contenu et leurs champs associés. La faille réside dans l'absence de validation adéquate des callbacks PHP invoqués pendant le processus de rendu des éléments de formulaires Field UI, permettant à un attaquant d'injecter des callbacks malveillants pouvant déclencher l'exécution de code PHP arbitraire.

Un point essentiel distingue CVE-2026-108097 d'une RCE directe dans Drupal Core : le module Field UI seul ne suffit pas à déclencher l'exploitation. L'advisory Drupal précise explicitement que le vecteur d'exploitation nécessite la présence de modules contributifs (contributed modules) fournissant des points d'entrée supplémentaires. Au moins un chemin d'exploitation ne nécessitant aucune authentification a été identifié via cette combinaison Core + modules contributifs. Des chemins d'exploitation supplémentaires peuvent également exister via du code personnalisé (custom code) manipulant les APIs Field UI.

L'étendue des versions affectées est particulièrement large : la faille est présente dans toutes les branches Drupal actuellement supportées. Sont concernées les versions 8.9.0 à 10.6.18, les versions 11.0.0 à 11.3.18, les versions 11.4.0 à 11.4.9, ainsi que la version 12.0.0 beta. Cette couverture transversale de toutes les versions supportées est rare dans les historiques de vulnérabilités Drupal et témoigne de l'ancienneté probable du code vulnérable dans la base de code Field UI.

Les versions corrigées publiées le 14 octobre 2026 sont Drupal 10.6.19, Drupal 11.3.19 et Drupal 11.4.10. Une version corrigée de la branche 12.0.0 beta est également disponible. Les sites opérant sur des versions 8.x ou des branches non maintenues devaient déjà migrer vers des versions supportées, mais leur exposition est confirmée — une pression supplémentaire pour accélérer les migrations.

La chronologie de la divulgation suit le processus Drupal standard : disclosure coordonnée entre le signalement initial, la résolution par l'équipe sécurité Drupal, et la publication simultanée du patch et de l'advisory. L'advisory publié le 14 octobre 2026 précise qu'au moment de la publication, aucun code d'exploitation public ni attaque confirmée n'avait été identifié. Toutefois, le Drupal Security Team a émis une alerte explicite indiquant que des exploits pourraient être développés en quelques heures ou jours suivant la publication, une estimation basée sur l'historique de vulnérabilités similaires dans l'écosystème Drupal (notamment CVE-2018-7600 « Drupalgeddon 2 », exploité en quelques heures après la publication du patch).

La surface d'attaque effective dépend de la combinaison de modules contributifs activés sur chaque site. L'advisory Drupal ne divulgue pas quels modules contributifs spécifiques créent les vecteurs d'exploitation pour des raisons de sécurité responsable — cette information sera probablement publiée après une période raisonnable permettant aux administrateurs d'appliquer les correctifs. Les analyses initiales de chercheurs indépendants publiées sur Hive Security et des blogs spécialisés suggèrent que les modules de gestion avancée de contenus (Views, Display Suite, Layout Builder) pourraient être impliqués, sans confirmation officielle.

Drupal est particulièrement déployé dans les administrations publiques, les universités et les médias, où les délais de mise à jour peuvent être plus longs en raison de processus de validation complexes. Cette réalité opérationnelle rend la fenêtre d'exploitation potentiellement plus longue que dans des environnements à cycle de déploiement plus rapide. Les équipes DSI de ces organisations doivent traiter CVE-2026-108097 comme une priorité absolue et obtenir des exceptions aux processus habituels de validation pour accélérer le déploiement du patch.

Impact et exposition

Drupal est utilisé par approximativement 2,5% des sites web mondiaux selon les statistiques W3Techs de 2026, mais sa concentration dans les secteurs public, éducatif et médiatique lui confère une importance stratégique dépassant sa part de marché brute. La présence de la faille dans toutes les branches supportées signifie que la totalité de la population de sites Drupal en production est théoriquement concernée, conditionnellement à la présence des modules contributifs créant le vecteur d'exploitation.

L'exploitation sans authentification (chemin identifié via modules contributifs) représente la condition la plus défavorable : tout visiteur anonyme peut potentiellement déclencher l'exploitation si les conditions sont réunies. La combinaison d'une exposition réseau directe (sites Drupal accessibles sur Internet), d'une exploitation sans authentification, et d'un résultat d'exécution de code arbitraire crée un scénario de risque maximal pour les sites non patchés opérant les modules contributifs vulnérables.

Les conséquences d'une exploitation réussie incluent : prise de contrôle complète du site Drupal (accès administrateur), accès en lecture/écriture à la base de données du site (contenu, utilisateurs, données personnelles), exfiltration de données sensibles des utilisateurs, utilisation du serveur compromis comme relais pour des attaques ultérieures, et défacement. Dans les organisations où Drupal est connecté à des systèmes d'information internes (SSO, LDAP, bases de données métier), l'impact peut s'étendre bien au-delà du site web lui-même.

À la date de rédaction (20 octobre 2026), aucune exploitation active publiquement confirmée de CVE-2026-108097 n'a été rapportée. Cependant, compte tenu du délai de six jours depuis la publication du patch et du niveau de criticité, la fenêtre d'exploitation est ouverte. Les équipes de sécurité doivent surveiller activement les logs pour détecter des patterns inhabituels dans les requêtes vers les endpoints Field UI.

Recommandations immédiates

• Mettre à jour Drupal Core immédiatement vers 10.6.19, 11.3.19 ou 11.4.10 selon la branche utilisée — Drupal Security Advisory CVE-2026-108097
• Pour les sites sur branche 12.0.0 beta : appliquer la version beta corrigée disponible sur drupal.org
• Si mise à jour impossible immédiatement : désactiver temporairement les modules contributifs non essentiels, en particulier ceux gérant des formulaires et des rendus de champs
• Auditer la liste des modules contributifs activés et identifier lesquels manipulent les APIs Field UI
• Surveiller les logs Apache/Nginx pour détecter des requêtes anormales vers les endpoints d'administration Field UI
• Vérifier l'intégrité des fichiers Drupal Core via la commande Drush : drush pm:security ou via l'interface d'administration Rapports → Mises à jour disponibles
• Si exploitation suspectée : analyser la base de données pour détecter des comptes administrateur créés anormalement et des modifications de configuration récentes