- Plusieurs vulnérabilités ont été découvertes dans le CMS Drupal.
- Elles permettent à un attaquant de réaliser des injections de code indirectes à distance, appelées attaques XSS.
- Si votre site web tourne sous Drupal, il est important de vérifier et d’appliquer les mises à jour disponibles.
Ce qui se passe
Le CERT-FR a publié le 17 septembre 2026 un avis signalant plusieurs vulnérabilités dans Drupal, un outil populaire pour créer et gérer des sites web. Ces failles concernent des injections de code indirectes à distance, plus connues sous le nom de failles XSS (Cross-Site Scripting).
Qu’est-ce qu’une faille XSS concrètement ?
Une attaque XSS consiste à injecter du code malveillant dans une page web. Ce code peut ensuite s’exécuter dans le navigateur d’un visiteur ou d’un administrateur du site à leur insu. Cela peut, selon le CERT-FR, permettre à un attaquant de compromettre des sessions, de voler des informations ou de manipuler l’affichage du site.
Si vous ne savez pas quelle version de Drupal tourne sur votre site, demandez à votre prestataire web ou hébergeur de vérifier. Ils peuvent aussi appliquer les mises à jour à votre place.
Beaucoup de PME pensent que leur site Drupal est maintenu automatiquement. Ce n’est pas toujours le cas : les mises à jour de sécurité nécessitent souvent une action manuelle ou une validation préalable. Ne supposez pas que c’est déjà fait.
Ce qu’il faut faire concrètement
Vérifiez si votre site utilise Drupal et contactez votre prestataire web ou responsable technique pour confirmer que les dernières mises à jour de sécurité ont bien été appliquées. Plus vous agissez vite, moins vous vous exposez. Consultez l’avis officiel du CERT-FR pour les détails techniques : CERTFR-2026-AVI-1196.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.