Drupal corrige deux failles RCE critiques et met en garde contre des exploits imminents

Drupal a corrigé deux vulnérabilités critiques permettant l'exécution de code à distance sur les sites utilisant toute version prise en charge du CMS. CVE-2026-108097 touche le module Field UI du cœur et CVE-2026-108099 le module contribué Entity List ; les deux ne sont pas exploitables avec le seul cœur de Drupal mais des modules contribués ou du code personnalisé ouvrent des chemins d'exploitation, dont au moins un sans authentification. Les administrateurs doivent mettre à jour le cœur vers 10.6.19, 11.3.19 ou 11.4.10 selon leur branche et Entity List vers 3.0.10 ; à défaut, désinstaller le module field_ui est recommandé comme mesure d'atténuation.