Urgent : Injection SQL critique dans Drupal Core (SA-CORE-2026-004) – Mettez à jour votre Drupal

Drupal

Cyber security

Partager sur

Une vulnérabilité critique (20/25) vient d’être publiée dans Drupal Core : avec notamment une injection SQL exploitable par des utilisateurs anonymes, affectant uniquement les sites utilisant PostgreSQL. Les attaquants pourraient voler des données, escalader des privilèges ou exécuter du code à distance.

Chez IOSAN, nous avons déjà sécurisé les sites de nos clients. Et le vôtre ?

Votre site est-il concerné ?

• Version de Drupal : Toutes les versions de 8.9.0 à 11.3.9 (sauf patchées).
• Base de données : PostgreSQL uniquement (MySQL/MariaDB ne sont pas concernés par cette faille).
• Autres risques : Même avec MySQL, cette mise à jour corrige aussi des failles critiques dans Symfony et Twig.

La page officielle: https://www.drupal.org/sa-core-2026-004

Explications techniques

Pourquoi uniquement PostgreSQL ?

Le driver PostgreSQL de Drupal gère mal les tableaux associatifs dans les requêtes SQL (ex: clauses IN). Un attaquant peut injecter du SQL via les clés du tableau.

Exemple de correction :

if (is_array($condition['value'])) {
  $condition['value'] = array_values($condition['value']); // Supprime les clés
}

Le driver MySQL utilise les valeurs positionnées et ne prend pas en compte les clés.

Autres failles corrigées (Symfony & Twig)

Même si vous n’utilisez pas PostgreSQL, cette mise à jour inclut :

• Symfony : Vulnérabilités non détaillées (risque élevé).
• Twig : Une faille permet de contourner les restrictions sur l’appel à __toString()** sur des objets, pouvant fuiter des données sensibles.

Exemple d’exploitation (Twig) :

{% trans %}{{ objet_non_autorisé|somefilter }}{% endtrans %}

Si objet_non_autorisé::__toString() retourne des infos sensibles (ex: clés API, mots de passe), un attaquant peut les récupérer via des templates malveillants.

→ Action :

• Mettez à jour même si vous utilisez MySQL.
• Auditez les rôles pouvant modifier des templates Twig (ex: via Views ou modules contrib).

Que faire ?

Mettez à jour vers :

• Drupal 11.3.x → 11.3.10
• Drupal 11.2.x → 11.2.12
• Drupal 11.1.x/11.0.x → 11.1.10
• Drupal 10.6.x → 10.6.9
• Drupal 10.5.x → 10.5.10
• Drupal 10.4.x → 10.4.10
• Drupal 9.5.x/8.9.x → Patch manuel (lien officiel)