Alerte de sécurité La vulnérabilité critique du médicament par injection SQL dans PostgreSQLTM nécessite une mise à jour immédiate

Drucal a publié des mises à jour de sécurité pour une vulnérabilité qualifiée "très critique" qui touche Drumal Core et permet à un attaquant d'effectuer une injection SQL arbitraire dans des sites utilisant des bases de données PostgreSQLTM, avec des conséquences possibles allant de la divulgation d'informations à l'escalade des privilèges et l'exécution de code à distance. L'échec, enregistré comme CVE-2026-9082 et avec un score CVSS moyen de 6,5 / 10 selon CVE.org, il se trouve dans la couche d'abstraction de la base de données que Drupal utilise pour valider et guérir les consultations; une validation défectueuse permet des demandes spécialement conçues pour sauter ces protections lorsque le moteur est PostgreSQL ( CVE-2026-9082). Il est important de souligner que l'opération peut être effectuée par des utilisateurs anonymes, ce qui augmente l'urgence d'appliquer des correctifs.

Les branches soutenues qui ont déjà lancé ce problème sont, entre autres, Drumal 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 et 10.4.10; Drual 7, par contre, n'est pas affectée. Drumal a également indiqué que les publications pour les branches soutenues comprennent des mises à jour en amont pour Symphony et Twig, donc crucial installer les versions complètes publiées et ne pas se limiter aux correctifs partiels. Pour les instructions officielles sur la mise à jour du noyau, il convient de se référer à la documentation de mise à jour de Drupal ( Mise à jour du noyau drucal) et à la page de sécurité du projet pour les avis et paquets officiels ( Sécurité drumale).

Du point de vue opérationnel et du risque, cette vulnérabilité réunit un certain nombre de facteurs inquiétants: elle ne touche que les installations avec PostgreSQL - donc beaucoup MySQL / Maria Les sites de DB restent à l'écart - mais la possibilité d'exploitation par des utilisateurs anonymes et le potentiel d'escalade à l'exécution à distance font des installations vulnérables une priorité. En outre, Drupal a publié des patchs manuels tels que « le meilleur effort » pour les branches en fin de vie telles que Drupal 9 et 8, mais ces patchs ne remplacent pas la couverture complète de sécurité; les branches EOL continueront à avoir d'autres vulnérabilités connues sans patch officiel, de sorte que les une meilleure stratégie à moyen terme consiste à migrer vers une branche soutenue.

Pour les gestionnaires et les agents de sécurité, la feuille de route immédiate devrait inclure l'application des mises à jour publiées le plus tôt possible après une validation minimale dans l'environnement d'essai, en faisant une sauvegarde complète avant de jouer à la production et en examinant les autorisations de compte de base de données pour réduire le rayon d'explosion en cas d'exploitation. S'il n'est pas possible de mettre à jour immédiatement par des restrictions, il convient d'atténuer avec des règles temporaires au niveau du pare-feu d'application Web qui bloquent les modèles suspects, de resserrer les règles d'accès à l'interface administrative et de restreindre l'accès à la base de données à partir du réseau public. Il est également recommandé de faire pivoter la base de données et les identifiants clés, et de sécuriser les sauvegardes.

En plus de la mise à jour, il est important de rechercher des indicateurs de compromis dérivés des injections SQL : consultations inhabituelles, création d'utilisateurs administratifs inattendus, modifications de code ou de fichier dans le système de fichiers, présence de shells web et trafic sortant du serveur vers des destinations inconnues. La surveillance des journaux de serveurs Web et PostgreSQLTM peut révéler des tentatives d'exploitation; les outils de détection d'intrusion et l'analyse de l'intégrité des fichiers aident à confirmer si une intrusion a été réussie. Si vous détectez une activité anormale, isolez le système touché et effectuez une analyse médico-légale avant de restaurer une copie sécurisée.

En termes plus généraux, cet incident souligne une fois de plus la nécessité de maintenir une politique de gestion des versions et des correctifs : utiliser des versions supportées, automatiser les mises à jour critiques lorsque c'est possible et tester les dépendances en amont telles que Symfony et Twig, qui, dans ce cas, ont été mises à jour dans les branches corrigées. Pour mieux comprendre le risque d'injection SQL et les meilleures pratiques pour l'atténuer au niveau de l'application, voir le guide OWASP sur l'injection SQL ( Injection SQL OWASP). Enfin, si votre organisation n'a pas la capacité interne de répondre à un engagement possible, envisagez d'embaucher des services de soutien spécialisés ou d'intervention en cas d'incident pour assurer l'assainissement complet et le rétablissement contrôlé.