🚨 CVE-2026-9082 : Vulnérabilité d'injection SQL dans le noyau Drupal

Vulnérabilité d'injection SQL à fort impact dans le noyau Drupal (PostgreSQL)

📋 Aperçu

CVE-2026-9082 est une vulnérabilité d'injection SQL dans la couche d'abstraction de base de données du noyau Drupal. Elle n'affecte que les sites utilisant PostgreSQL comme backend de base de données.

Cette vulnérabilité permet à des attaquants non authentifiés d'effectuer des injections SQL arbitraires, pouvant entraîner une fuite de données, une élévation de privilèges et, dans le pire des cas, une exécution de code à distance.

⚠️ Il s'agit d'un avis de sécurité critique réel (SA-CORE-2026-004)

🛡️ Sévérité

Évaluation interne de Drupal : Hautement critique (surtout pour les sites PostgreSQL).

📌 Versions concernées

Non concernés :

• Drupal 7.x (toutes versions)
• Sites utilisant MySQL ou MariaDB
• Sites utilisant SQLite

🔧 Atténuation

Action immédiate

Mettez à jour le noyau Drupal immédiatement vers l'une des versions corrigées listées ci-dessus.

Commandes rapides

# Using Composer (recommended)
composer update drupal/core-recommended --with-dependencies

# Or update to a specific secure version
composer require drupal/core:11.3.10

Recommandations supplémentaires

• Activez les mises à jour automatiques si possible
• Examinez les journaux de la base de données pour détecter des requêtes suspectes
• Envisagez des règles WAF temporaires bloquant les payloads spécifiques à PostgreSQL si le correctif est retardé

🛠 Détails techniques

• Type de vulnérabilité : Neutralisation incorrecte des éléments spéciaux utilisés dans une commande SQL ('Injection SQL')
• Emplacement : API d'abstraction de base de données du noyau Drupal
• Exploitable par : Utilisateurs anonymes / non authentifiés
• Déclencheur : Certaines requêtes de base de données utilisant des fonctionnalités spécifiques à PostgreSQL

📚 Références

• Avis officiel : SA-CORE-2026-004
• Entrée CVE : CVE-2026-9082
• Équipe de sécurité Drupal