Sites Drupal : deux failles critiques corrigées, des attaques attendues sous peu
Drupal a corrigé cette semaine deux failles critiques, détaillées le 17 octobre, permettant de prendre le contrôle d'un site : CVE-2026-108097 dans le cœur du logiciel et CVE-2026-108099 dans le module Entity List. Toutes les versions encore suivies sont touchées. Aucune attaque n'est encore signalée, mais l'équipe de Drupal prévient qu'elles peuvent arriver en quelques heures ou quelques jours.
Pourquoi ça compte
Drupal fait tourner de nombreux sites d'administrations, d'universités et d'entreprises. Entre la publication d'un correctif et les premières attaques, le délai est souvent très court : il faut mettre à jour sans attendre.
Ce que tu dois faire
✅ Si tu gères un site Drupal, passe à la version 10.6.19, 11.3.19 ou 11.4.10 selon ta branche, et le module Entity List à la 3.0.10. Si tu ne peux pas mettre à jour tout de suite, désinstalle le module Field UI.
Sources
← Tout le numéro du 18 octobre 2026 📬 Recevoir Le Fil par e-mail