Drupal corrige des failles RCE critiques, exploits imminents
17 octobre 2026 · Cybersécurité · NET,AKAM
Drupal a corrigé deux vulnérabilités critiques d'exécution de code à distance (RCE) affectant toutes les versions supportées du CMS. Les failles CVE-2026-108097 (module Field UI) et CVE-2026-108099 (module Entity List) peuvent être exploitées sans authentification via des modules contribués. L'équipe de sécurité Drupal avertit que des exploits pourraient être développés dans les heures ou jours suivant la divulgation. Plus d'un million de sites web sont concernés, notamment des agences gouvernementales, universités et ONG.
Impact marchés
Impact sur l'écosystème open-source CMS et les prestataires de services web hébergeant des sites Drupal. Les gouvernements, universités et ONG utilisant Drupal sont particulièrement exposés. Indirectement, les éditeurs de solutions de cybersécurité spécialisés dans la protection des CMS et WAF pourraient voir une hausse de la demande.
Opportunités
Opportunité pour les fournisseurs de WAF et solutions de sécurité applicative (Cloudflare, Akamai, Imperva) face à la menace imminente. Risque pour les organisations n'ayant pas encore patché leurs instances Drupal, particulièrement dans le secteur public.