Drupal corrige une faille critique d'exécution de code à distance dans Field UI, accessible sans connexion via des modules complémentaires

Drupal a publié le 14 octobre 2026 des mises à jour de sécurité pour une vulnérabilité critique d'exécution de code à distance dans le module cœur Field UI. Référencée CVE-2026-108097, la faille a reçu de Drupal une note de risque de 19 sur 25.

Le cœur de Drupal ne permet pas à lui seul d'atteindre le comportement vulnérable. Selon le compte rendu de The Hacker News sur l'avis de l'équipe de sécurité de Drupal, plusieurs chemins d'exploitation existent toutefois via des modules contributeurs non nommés, dont au moins un ne nécessite aucune connexion. Du code personnalisé peut aussi exposer la faille.

Au 15 octobre 2026, aucun exploit public ni aucune attaque signalée utilisant CVE-2026-108097 n'avait été rendu public. Drupal avait annoncé à l'avance, le 12 octobre, la publication de cette version de sécurité et invité les administrateurs à réserver du temps pour la mise à jour, car le développement d'un exploit pourrait suivre dans les heures ou les jours.

Les versions de Drupal concernées

La vulnérabilité est corrigée dans les versions suivantes :

Les sites utilisant le profil d'installation Standard de Drupal incluent Field UI, sauf si les administrateurs l'ont retiré.

Les données de versions déclarées illustrent l'exposition potentielle des versions anciennes, mais elles ne reflètent pas toutes les installations Drupal. Durant la semaine commençant le 4 octobre 2026, 151 442 sites sur 531 499 ayant transmis leur version du cœur à drupal.org, soit 28,5 %, fonctionnaient sur des branches décrites comme vulnérables et ne recevant plus de correctif.

Comment le callback a contourné les protections de rendu de Drupal

Field UI fournit les pages d'administration servant à configurer les champs et à contrôler leur affichage. Le module construit les tableaux sous forme de tableaux de rendu, que Drupal transforme ensuite en HTML.

Avant le correctif, le traitement de pré-rendu du tableau acceptait le callable PHP stocké dans la propriété #region_callback de chaque ligne et l'invoquait avec call_user_func_array. Le code ne vérifiait pas au préalable que ce callable était sûr.

Le moteur de rendu de Drupal bloque les callbacks de rendu non fiables depuis la version 8.8. Cette protection ne couvrait toutefois pas ce chemin d'exécution indirect : le moteur faisait confiance à la méthode de pré-rendu de l'élément tableau lui-même, alors que le callable sélectionné ensuite dans #region_callback n'était soumis à aucune validation équivalente.

Si un module contributeur ou une implémentation personnalisée permet à des données contrôlées par un attaquant d'atteindre cette propriété, l'exécution de code PHP arbitraire devient possible. L'appel vulnérable était présent depuis Drupal 8.9.0 au moins.

Dans Drupal 11.4.10, le code du tableau n'exécute plus le callback de la ligne. Il obtient désormais la région directement à partir de la valeur de région de la ligne. Une valeur non reconnue est remplacée par la région masquée du tableau ou, si celle-ci n'est pas disponible, par sa première région.

Ce changement a aussi une conséquence de compatibilité. Le code personnalisé qui affecte #region_callback aux lignes d'un field_ui_table ne verra plus ces callbacks exécutés après la mise à jour. Dans le cœur, les formulaires d'affichage propres à Field UI étaient les seuls composants utilisant cette propriété.

Mettre à jour d'abord ; désactiver Field UI n'est qu'une protection temporaire

Les administrateurs doivent installer la version corrigée de leur branche prise en charge. Si une mise à niveau immédiate est impossible, l'avis recommande de désinstaller le module Field UI, identifié comme field_ui, pendant la mise à jour du site.

Retirer le module bloque le composant vulnérable, mais rend aussi indisponibles les pages d'administration « Manage fields » et « Manage display ».

Drupal Steward, un ensemble de règles de pare-feu pour applications web maintenu par l'équipe de sécurité, bloque déjà certains vecteurs d'attaque connus. Acquia, Pantheon, Ironstar et Skpr l'exploitent pour leurs clients. Sa couverture reste incomplète, il ne remplace donc pas la mise à jour.

Après l'application de la mise à jour, les exploitants disposant de code Drupal personnalisé doivent :

• rechercher le code qui définit #region_callback sur les lignes de field_ui_table ;
• tester les pages d'administration « Manage fields » et « Manage display » ;
• remplacer tout processus qui dépendait du comportement désormais désactivé du callback de ligne.

Entity List nécessite une mise à jour séparée

La même fenêtre de publication incluait CVE-2026-108099, une vulnérabilité critique d'exécution de code à distance dans le module complémentaire Entity List. Ses conditions signalées incluent aussi un chemin connu ne nécessitant aucune authentification, et les notes de version d'Entity List 3.0.10 indiquent que sa correction reprend le changement apporté à Field UI.

La mise à jour du cœur de Drupal ne met pas à jour Entity List. Les sites utilisant ce module doivent le mettre à niveau séparément vers 3.0.10. Durant la semaine commençant le 4 octobre 2026, 90 sites ont déclaré utiliser ce module.

Les versions corrigées du cœur traitent aussi deux failles de cross-site scripting de gravité modérée : CVE-2026-108515 dans le module Link et CVE-2026-108514 dans le module Navigation. Toutes deux nécessitent au moins un utilisateur connecté.

Drupal 7 est en fin de vie depuis drupal.org et aucun correctif officiel du cœur n'est répertorié. Pantheon indique que son service de support à long terme, assuré avec Tag1 Consulting, a publié Drupal 7.107 avec une version rétroportée de la correction. Les opérateurs qui utilisent ce service doivent installer la version prise en charge fournie par son intermédiaire.