Drupal prévient qu’une mise à jour de sécurité hautement critique sera publiée le 20 mai 2026 pour les versions supportées du cœur.
Drupal annonce une mise à jour critique pour le 20 mai
La Drupal Security Team demande aux administrateurs de réserver du temps pour appliquer rapidement une mise à jour de sécurité du cœur Drupal.
Drupal a publié un PSA pour prévenir qu’une mise à jour de sécurité hautement critique du cœur Drupal sera publiée le 20 mai 2026.
La fenêtre annoncée est prévue entre 17:00 et 21:00 UTC, soit entre 19:00 et 23:00 en France métropolitaine.
Pour l’instant, Drupal ne donne pas les détails techniques de la vulnérabilité, ce qui est normal. L’objectif est surtout de laisser le temps aux administrateurs de se préparer, sans fournir d’informations exploitables avant la publication des correctifs.
Je trouve que c’est une info à partager, mais avec prudence : pas de spéculation, pas de détails inventés, pas de panique. Le message utile, c’est surtout “préparez-vous à patcher vite le 20 mai”.
Les branches supportées qui recevront une mise à jour sont :
Drupal 11.3.x
Drupal 11.2.x
Drupal 10.6.x
Drupal 10.5.x
Exceptionnellement, vu la sévérité annoncée, Drupal prévoit aussi des correctifs pour certaines branches mineures déjà en fin de vie :
Drupal 11.1.x
Drupal 10.4.x
Pour les vieux sites Drupal 8 et Drupal 9, aucune nouvelle version complète ne sera publiée, car ces branches sont en fin de vie. Drupal prévoit seulement des patchs manuels “best effort” pour Drupal 8.9 et 9.5.
Drupal 7 n’est pas concerné par cette vulnérabilité selon le PSA.
Avant le 20 mai, Drupal recommande de mettre les sites sur la dernière version patch disponible de leur branche actuelle, afin d’éviter de découvrir un problème de mise à jour au moment de la fenêtre de sécurité.
À faire côté admin :
- identifier les sites Drupal exposés
- vérifier les versions utilisées
- prévoir un créneau de maintenance le 20 mai au soir
- préparer une sauvegarde avant mise à jour
- surveiller la publication officielle sur la page sécurité Drupal
Le PSA précise que des exploits pourraient être développés en quelques heures ou quelques jours après la publication. Pour un site Drupal exposé publiquement, je ne laisserais pas cette mise à jour traîner jusqu’au week-end.
PSA Drupal du 18 mai 2026