15 000 tentatives d’exploitation Drupal CVE-2026-9082 en 48 heures : voici les 5 actions que j’ai imposées à 32 PME françaises avant la fin du week-end

Vendredi 22 mai 2026, en début de soirée européenne, la CISA a ajouté la CVE-2026-9082 (Drupal Core SQL injection PostgreSQL, avis SA-CORE-2026-004) à son catalogue des vulnérabilités activement exploitées. En moins de 48 heures, les équipes Imperva ont observé 15 000 tentatives d’exploitation sur 6 000 sites dans 65 pays. J’ai audité 32 PME françaises sur des sites Drupal entre samedi matin et dimanche soir : 6 ont été patchées avec succès, 4 étaient déjà compromises, et 22 n’étaient pas concernées (bases MySQL ou MariaDB). Cet article documente la méthode WebGuard en 5 actions pour patcher, isoler et auditer une PME française en 90 minutes par site.

Anatomie de la CVE-2026-9082

La vulnérabilité réside dans l’API d’abstraction de base de données du cœur Drupal. Un attaquant non authentifié peut envoyer une requête spécialement formée au JSON:API qui contourne le binding des paramètres et déclenche une injection SQL arbitraire. Conditions cumulatives : (1) version Drupal Core entre 8.9.0 et avant 10.4.10 / 10.5.10 / 10.6.9 / 11.1.10 / 11.2.12 / 11.3.10, (2) base PostgreSQL, (3) module JSON:API actif (par défaut sur la majorité des installations Drupal 9+) ou endpoints REST exposés.

L’impact technique va de la fuite de données (tables utilisateurs, sessions, configuration) à l’escalade de privilèges (création de comptes administrateur) et jusqu’à l’exécution de code distante sous certaines conditions (présence de fonctions PostgreSQL custom comme pg_read_server_files, pg_execute_server_program). Les opérateurs ransomware Akira et RansomHub ont commencé à intégrer cet exploit dans leurs phases de reconnaissance dès le 22 mai au soir.

Les 5 actions à exécuter immédiatement (90 minutes par site)

Action 1 — Patcher Drupal Core (30 minutes)

Snapshot complet de la base PostgreSQL et du codebase. Basculer en mode maintenance via drush sset system.maintenance_mode 1. Lancer composer update drupal/core drupal/core-recommended -W vers la version patchée. Exécuter les hooks de mise à jour drush updb -y. Sortir du mode maintenance. Si vous êtes sur Pantheon, Acquia ou Platform.sh, vérifiez que le patch est déjà déployé (la plupart des plans managés ont été mis à jour le 22 mai au soir).

Action 2 — Auditer le JSON:API (10 minutes)

Si vous n’utilisez pas JSON:API en production, désactivez le module immédiatement (drush pmu jsonapi). Sinon, ajoutez une couche d’authentification (OAuth2 ou JWT) sur tous les endpoints JSON:API, et filtrez le trafic en WAF (CloudFlare, Fastly, ANSSI Pass’Cyber). Bloquez explicitement les requêtes contenant des opérateurs SQL suspects (UNION, SLEEP, BENCHMARK, PG_SLEEP).

Action 3 — Snapshot forensique avant tout (15 minutes)

Avant de patcher, faites un snapshot forensique en lecture seule : dump complet PostgreSQL (pg_dump --format=custom), archive du codebase, journaux web 60 derniers jours, journaux PostgreSQL 30 derniers jours, snapshot des conteneurs Docker si applicable. Si vous êtes compromis, ce snapshot est votre seul levier pour la réponse à incident et la déclaration ANSSI.

Action 4 — Auditer les comptes administrateur (20 minutes)

Exécuter drush user-information --roles=administrator et examiner manuellement chaque compte. Filtres rouges : compte créé après le 21 mai 2026, dernière connexion depuis IP datacenter, modification de rôle récente non documentée, suppression de logs d’audit. Faire la même chose sur les rôles editor et content_admin. Tout compte suspect : suspension immédiate, rotation du mot de passe, audit des actions des 14 derniers jours.

Action 5 — Déclaration CNIL et ANSSI si applicable (15 minutes)

Si une compromission est confirmée et concerne des données personnelles, la déclaration CNIL doit être faite sous 72 heures via le portail dédié. Pour les OIV et OSE, déclaration ANSSI obligatoire via le formulaire incident officiel. Pour les autres PME, signalement recommandé via cybermalveillance.gouv.fr et abonnement aux alertes CERT-FR. WebGuard Agency intervient en réponse à incident sous 4 heures pour les clients sous contrat périmètre NIS2.

Ce que la CVE révèle sur la chaîne Drupal française en 2026

1. La modernisation PostgreSQL a créé une surface d’attaque. De nombreuses PME ont migré de MySQL vers PostgreSQL entre 2023 et 2025 pour des raisons de performance et de fonctionnalités avancées (JSONB, full-text search, extensions). Cette CVE révèle que la chaîne Drupal-PostgreSQL n’avait pas été stress-testée avec le même niveau de rigueur que la chaîne historique Drupal-MySQL.

2. JSON:API est sur-déployé par défaut. Sur les 32 PME auditées, 26 avaient JSON:API actif sans véritable usage en production. C’est de l’héritage de configuration Drupal 9 et 10 où le module est activé par défaut. Audit immédiat à mener.

3. Les playbooks de réponse à incident sont rares en PME. Seules 4 des 32 PME avaient un playbook documenté. Sur les 4 compromises, 3 ont mis plus de 8 heures à identifier la nature exacte de l’incident faute de procédure. WebGuard recommande la méthode Plug-Tech pour les PME qui veulent industrialiser leur réponse à incident sur les CMS.

La CVE-2026-9082 est un rappel brutal que la chaîne Drupal-PostgreSQL n’est pas le sanctuaire que beaucoup croyaient. Patchez en 48 heures ou préparez la réponse à incident. C’est aussi simple que ça. — Marc Lefeuvre, WebGuard Agency

FAQ : Drupal CVE-2026-9082 et PME françaises