Drupal publie SA-CORE-2026-004 pour corriger une injection SQL critique exploitable anonymement sur les sites utilisant PostgreSQL.
Drupal corrige une faille SQL critique dans son cœur
La mise à jour annoncée par Drupal est maintenant publiée : elle corrige CVE-2026-9082, une injection SQL critique dans Drupal core.
Suite du sujet dont je parlais ici :
Drupal annonce une mise à jour critique pour le 20 mai
Drupal a publié l’avis de sécurité SA-CORE-2026-004, et on connaît maintenant la nature de la faille : une injection SQL dans le cœur de Drupal.
La vulnérabilité est suivie sous l’identifiant :
CVE-2026-9082
Drupal classe le risque en hautement critique, avec un score de 20 sur 25. Le point le plus important : la faille peut être exploitée par des utilisateurs anonymes.
La vulnérabilité touche l’API d’abstraction de base de données de Drupal. Elle permet à un attaquant d’envoyer des requêtes spécialement construites pouvant mener à une injection SQL arbitraire.
L’impact peut aller assez loin selon le site :
- divulgation d’informations
- élévation de privilèges
- exécution de code à distance dans certains cas
- autres attaques en chaîne
Nuance importante : cette injection SQL concerne les sites Drupal utilisant PostgreSQL. Mais les versions publiées embarquent aussi des mises à jour de dépendances Symfony et Twig, donc Drupal recommande de mettre à jour même si votre site n’utilise pas PostgreSQL.
Les versions corrigées sont :
Drupal 11.3.10
Drupal 11.2.12
Drupal 11.1.10
Drupal 10.6.9
Drupal 10.5.10
Drupal 10.4.10
Les branches 11.1.x, 11.0.x, 10.4.x et plus anciennes sont déjà en fin de vie. Drupal fournit quand même certains correctifs en “best effort” vu la gravité du problème, mais ce n’est pas une vraie couverture de sécurité durable.
Pour Drupal 8 et Drupal 9, il n’y a pas de nouvelle version complète. Drupal fournit seulement des patchs manuels pour Drupal 8.9 et 9.5.
Si un site Drupal 8 ou 9 est encore exposé en production, le sujet dépasse cette CVE. Ces branches sont en fin de vie et gardent d’autres vulnérabilités connues non corrigées. À ce stade, il faut vraiment prévoir une migration vers Drupal 10.6 ou 11.3.
À faire côté admin :
- vérifier si le site utilise PostgreSQL
- appliquer la mise à jour Drupal adaptée à la branche
- mettre aussi à jour les dépendances Composer
- tester rapidement les modules critiques après patch
- surveiller les logs web et applicatifs
- prévoir une migration si le site est sur une branche EOL
La mise à jour était annoncée à l’avance, justement parce que des exploits peuvent apparaître en quelques heures ou quelques jours après la publication. Maintenant que les détails sont publics, je ne laisserais pas traîner un Drupal exposé sur Internet.
Avis Drupal SA-CORE-2026-004
PSA Drupal du 18 mai 2026
Mon précédent post sur l’alerte Drupal