L'équipe de sécurité de Drupal
Drupal dispose d'une équipe de sécurité dédiée, composée de bénévoles et d'experts mandatés par des entreprises de l'écosystème. Elle reçoit les signalements de failles, coordonne leur correction avec les mainteneurs concernés, puis publie un avis de sécurité au moment où le correctif est disponible.
Ce processus de divulgation coordonnée a un avantage : le correctif est disponible dès que la faille est rendue publique. Il a aussi une conséquence : à partir de cet instant, la faille est connue de tous, y compris des attaquants. Le temps qui sépare la publication de l'avis de l'application du correctif sur votre site est la période de plus grande exposition.
Les différents types d'avis
- SA-CORE : avis concernant le cœur de Drupal. Ils touchent potentiellement tous les sites.
- SA-CONTRIB : avis concernant un module ou un thème contribué. Seuls les sites qui l'utilisent sont concernés.
- PSA (Public Service Announcement) : annonces de service public, par exemple pour prévenir de la publication imminente d'un correctif critique, ou rappeler une fin de support.
Lorsqu'une faille particulièrement grave du cœur est attendue, l'équipe de sécurité publie une annonce quelques jours à l'avance pour permettre aux équipes de maintenance de se rendre disponibles le jour de la publication.
Lire un niveau de criticité
Chaque avis comporte un score de risque, calculé à partir de plusieurs critères : complexité de l'attaque, niveau d'accès requis, impact sur la confidentialité et l'intégrité des données, existence d'un code d'exploitation public, proportion de sites concernés. Ce score se traduit par un niveau :
| Niveau | Signification | Délai d'action recommandé |
|---|---|---|
| Highly critical | Exploitable facilement, souvent sans authentification, avec un impact majeur | Immédiat, le jour même |
| Critical | Faille sérieuse, exploitable dans de nombreuses configurations | Sous 24 à 48 heures |
| Moderately critical | Exploitation soumise à des conditions particulières | Dans la semaine |
| Less critical / Not critical | Exploitation difficile ou impact limité | Lors de la prochaine intervention planifiée |
Un niveau modéré ne signifie pas pour autant que la faille peut être ignorée : selon la configuration de votre site, elle peut être plus ou moins exploitable. C'est tout l'intérêt d'une analyse au cas par cas.
Le calendrier de publication
Les correctifs de sécurité du cœur sont publiés selon un calendrier prévisible, dans une fenêtre dédiée le mercredi, généralement le troisième mercredi du mois. Les avis concernant les modules contribués sont eux aussi publiés le mercredi, chaque semaine si nécessaire. En cas d'urgence, l'équipe de sécurité peut publier en dehors de ces fenêtres.
Ce calendrier permet d'organiser la maintenance : le mercredi soir et le jeudi sont des moments clés pour vérifier si votre site est concerné.
Ce que l'histoire de Drupal enseigne
Deux épisodes ont marqué la communauté Drupal et illustrent l'importance de la réactivité.
En octobre 2014, une faille du cœur de Drupal 7, surnommée « Drupalgeddon », a été exploitée à grande échelle quelques heures seulement après sa publication. L'équipe de sécurité a ensuite indiqué que les sites qui n'avaient pas appliqué le correctif dans les sept heures devaient être considérés comme compromis.
En 2018, la faille SA-CORE-2018-002, dite « Drupalgeddon 2 », a de nouveau été exploitée massivement sur les sites qui tardaient à se mettre à jour.
La leçon est claire : pour les failles les plus graves, l'application des correctifs se compte en heures, pas en semaines.
Les modules couverts et ceux qui ne le sont pas
Tous les modules contribués ne bénéficient pas de la politique de sécurité de drupal.org. Seules les versions stables des projets ayant opté pour cette couverture sont concernées ; elles sont signalées par un bouclier sur leur page de projet. Les versions de développement, alpha ou bêta, ainsi que les modules non couverts, peuvent présenter des failles sans qu'aucun avis ne soit publié.
Lors d'un audit, nous identifions les modules de votre site qui ne sont pas couverts, et nous recommandons des alternatives lorsque c'est pertinent.
Au-delà de Drupal : les librairies PHP
Un site Drupal moderne repose sur de nombreuses librairies tierces installées avec Composer : composants Symfony, Guzzle, Twig et bien d'autres. Leurs failles font l'objet d'avis distincts, publiés par leurs propres équipes. Une veille limitée aux avis de drupal.org laisse donc une partie des risques de côté.
Comment nous organisons la veille
Notre outil de veille contrôle chaque jour l'ensemble des sites que nous maintenons : il compare les versions installées avec les avis de sécurité de Drupal et des librairies PHP, et signale immédiatement tout site concerné. Les correctifs sont ensuite appliqués sous 48 heures, ou dès leur parution selon le forfait choisi, testés sur préproduction, puis déployés. Vous recevez un rapport détaillant les failles corrigées.
Découvrez le fonctionnement détaillé de notre veille de sécurité Drupal, ou consultez nos tarifs de maintenance.