Le 20 mai 2026, l'équipe de sécurité de Drupal a publié l'avis SA-CORE-2026-004, classé « hautement critique ». La faille, CVE-2026-9082, est une injection SQL dans le cœur même de Drupal, exploitable par un visiteur anonyme. Deux jours plus tard, l'avis était relevé à 23 sur 25 car des tentatives d'exploitation étaient détectées, et l'agence américaine de cybersécurité (CISA) l'inscrivait à son catalogue des failles activement exploitées. Drupal équipe de nombreux sites institutionnels, associatifs et d'entreprises : voici ce qu'il faut vérifier.
Vérifiez votre site. Notre test de sécurité de site gratuit reconnaît Drupal et lit sa version exacte quand le site la laisse apparaître. Sinon, il vous le dit : pas de faux « à jour ».
#1. Ce qui se passe, en cinq points
- Une injection SQL dans le cœur : la faille se trouve dans la couche d'accès à la base de données de Drupal, pas dans un module ajouté.
- Sans compte : un visiteur anonyme peut l'exploiter.
- Uniquement avec PostgreSQL : selon l'avis, seuls les sites dont la base de données est PostgreSQL sont exposés. Les sites en MySQL ou MariaDB ne le sont pas par cette faille.
- Les conséquences : fuite d'informations et, dans certains cas, élévation de privilèges ou exécution de code à distance. La base américaine NVD la note 9,8 sur 10.
- Exploitée : tentatives détectées dès le 22 mai 2026, inscription au catalogue KEV de la CISA le même jour.
#2. Versions touchées et corrigées
| Versions touchées | Version corrigée |
|---|---|
| 8.9.0 à 10.4.9 | 10.4.10 |
| 10.5.0 à 10.5.9 | 10.5.10 |
| 10.6.0 à 10.6.8 | 10.6.9 |
| 11.0.0 à 11.1.9 | 11.1.10 |
| 11.2.0 à 11.2.11 | 11.2.12 |
| 11.3.0 à 11.3.9 | 11.3.10 |
Drupal 8.9 et 9 n'ont pas reçu de version corrigée : l'équipe de Drupal a fourni des correctifs manuels, « au mieux », sans garantie. Les branches 11.0, 11.1 et 10.4 et antérieures sont en fin de vie. L'avis ne concerne pas Drupal 7, qui n'est de toute façon plus maintenu depuis janvier 2025.
Les mises à jour du 20 mai 2026 corrigent aussi des dépendances (Symfony et Twig) : elles sont utiles même pour un site en MySQL.
#3. Comment savoir si je suis concerné
Deux questions : quelle version de Drupal, et quelle base de données.
La version. Dans l'administration, elle s'affiche dans « Rapports > Rapport d'état ». Depuis l'extérieur, Drupal n'annonce que sa version majeure (« Drupal 10 »), ce qui ne suffit pas. Notre scanner lit la version exacte quand elle apparaît dans les fichiers publics du cœur ; sinon il répond « indéterminé ».
La base de données. Elle figure aussi dans le rapport d'état, et dans le fichier settings.php du site (ligne driver, qui vaut pgsql pour PostgreSQL). Elle ne se voit jamais de l'extérieur : c'est pourquoi le scanner indique « à risque » pour une version touchée, et non « vulnérable » avec certitude.
Avec Drush, en ligne de commande :
drush status
#4. Que faire maintenant
- Sauvegardez fichiers et base de données, hors du serveur.
- Mettez à jour le cœur vers la version corrigée de votre branche, par exemple avec Composer :
composer update drupal/core-recommended --with-dependencies, puisdrush updatedb. - Videz les caches et vérifiez la version dans le rapport d'état.
- En Drupal 8.9 ou 9, appliquez le correctif manuel publié par Drupal en attendant une migration vers une version maintenue.
#Chercher des signes de compromission
Si votre site en PostgreSQL est resté exposé après le 20 mai 2026, vérifiez :
- des comptes administrateur ou des rôles que vous n'avez pas créés ;
- des contenus ou blocs modifiés, en particulier du code ou des liens ajoutés ;
- des fichiers PHP inconnus dans
sites/default/filesou ailleurs ; - des requêtes inhabituelles dans les journaux du serveur web et de la base de données.
#5. Comment M-KIS peut vous aider
Si votre site a pu être compromis, notre offre de secours de site piraté propose un diagnostic gratuit, le nettoyage et la remise en ligne sécurisée. Notre infogérance prend en charge les mises à jour de sécurité de vos serveurs. Pour toute question, écrivez-nous : nous répondons rapidement par mail.
Sources : avis de sécurité Drupal SA-CORE-2026-004 (drupal.org) du 20 mai 2026, mis à jour le 22 mai 2026, base NVD (CVE-2026-9082), catalogue KEV de la CISA (ajout du 22 mai 2026).
Cet article vous parle ?
On accompagne PME, ESN et éditeurs SaaS dans leur conformité ISO 27001 / NIS2 - accompagnement spécialisé, tarifs publics, 100 % open source.