Faille critique Drupal Field UI : ce qu’une boutique Drupal Commerce doit vérifier

Le Drupal Security Team a publié le 14 octobre 2026 une alerte critique, SA-CORE-2026-014 (CVE-2026-108097), sur une faille d’exécution de code à distance dans le module Field UI du cœur de Drupal. Cette faille concerne directement les boutiques construites avec Drupal Commerce, qui s’appuie sur ce module pour gérer les champs des fiches produits. Le correctif est disponible depuis la même date, mais encore faut-il savoir si la boutique tourne sur une version couverte.

Ce que dit l’alerte officielle

Le Drupal Security Team qualifie la faille de critique, avec un score de gravité de 19 sur 25. Le module Field UI, utilisé pour configurer les champs personnalisés, n’expose pas directement le problème depuis le cœur seul : ce sont des modules contribués qui peuvent ouvrir une voie d’exploitation, et au moins un de ces chemins ne nécessite aucune authentification. L’alerte précise que des développements spécifiques à une boutique peuvent également exposer la fonctionnalité concernée.

Les versions concernées sont précisément listées par l’éditeur : de la 8.9.0 à la 10.6.19, de la 11.0.0 à la 11.3.19, de la 11.4.0 à la 11.4.10, ainsi que les versions alpha de la branche 12. En clair, toute boutique qui n’a pas appliqué le correctif du 14 octobre reste potentiellement exposée, quelle que soit la branche utilisée.

Si la boutique tourne sous Drupal Commerce

Drupal Commerce n’est pas un logiciel autonome : il s’installe comme un ensemble de modules sur un cœur Drupal, et hérite donc des failles de ce cœur. Le module Field UI est particulièrement sollicité sur les boutiques, puisqu’il sert à définir les attributs produits, les champs de variation ou les métadonnées affichées sur les fiches. Une boutique qui a personnalisé son catalogue a donc de bonnes chances d’avoir ce module actif.

Ce n’est pas la première alerte de sécurité touchant l’écosystème Drupal Commerce cette année : une faille affectant le tunnel de commande découplé avait déjà été corrigée en septembre, preuve que la surveillance des annonces officielles doit rester continue plutôt que ponctuelle.

Ce qu’il faut demander à son prestataire ou à son hébergeur

1. Identifier la version exacte. Demander au prestataire ou à l’hébergeur la version de Drupal core qui fait tourner la boutique, pas seulement la version de Drupal Commerce.
2. Vérifier la couverture du correctif. Comparer cette version aux seuils publiés : 10.6.19, 11.3.19 ou 11.4.10 selon la branche utilisée.
3. Appliquer une mitigation si la mise à jour ne peut pas être immédiate. L’alerte officielle indique que désactiver temporairement le module Field UI réduit le risque en attendant la mise à jour.
4. Tester avant de basculer en production. La méthode décrite pour les mises à jour de sécurité PrestaShop s’applique tout autant à un cœur Drupal : une préproduction avant la bascule évite qu’un correctif de sécurité casse une fonctionnalité du catalogue.
5. Vérifier les modules contribués. Lister les modules installés qui dépendent de Field UI, puisque c’est par eux que peut passer une exploitation sans authentification.

Pourquoi cette alerte mérite d’être prise au sérieux

Le score de 19 sur 25 place cette faille parmi les alertes critiques du cœur Drupal, aux côtés des correctifs déjà appliqués cette année sur l’écosystème e-commerce. Les boutiques WooCommerce ont connu une dynamique comparable avec la version 11.2, où une mise à jour de sécurité devait être vérifiée avant application. Dans les deux cas, le réflexe attendu d’un responsable de boutique n’est pas de lire le correctif ligne à ligne, mais de s’assurer que quelqu’un l’a fait pour son site, dans les jours qui suivent l’alerte plutôt que dans les mois.

La maturité d’exploitation est qualifiée de ‘théorique’ par l’éditeur, ce qui ne signifie pas sans risque : cela signifie qu’aucun code d’exploitation public n’avait été recensé au moment de la publication, pas que la faille est difficile à exploiter une fois identifiée. Les versions déjà en fin de support — la branche 11.2.x et les précédentes, la 10.5.x et les précédentes — ne recevront aucun correctif pour cette faille ni pour les suivantes, ce qui fait de la mise à jour de version un sujet distinct de la simple application du patch.

Ce qu’il faut retenir

• Une faille critique (SA-CORE-2026-014) touche le module Field UI du cœur Drupal, corrigée le 14 octobre 2026.
• Les boutiques Drupal Commerce sont concernées dès qu’elles utilisent ce module pour leurs champs produits.
• Selon la branche, la version installée doit être mise à jour vers 10.6.19, 11.3.19 ou 11.4.10.
• Les versions déjà en fin de support doivent engager une migration, faute de correctif possible.