Drupal vient de lancer des procédures de réinitialisation de mots de passe pour environ un million de comptes d'utilisateurs de sa plateforme Drupal.org. Le service précise que le CMS lui-même n'est pas en cause, et que le problème vient de ses serveurs.
Un million d'inscrits sur la plateforme Drupal.org seraient concernés par l'intrusion subie par les serveurs du service, réalisée via une faille présente dans le système d'un prestataire de l'entreprise. Des hackers auraient récupéré des données incluant des identifiants, des adresses email et des mots de passe : ces derniers, bien que chiffrés par Drupal, font actuellement l'objet d'une procédure de réinitialisation.
Les utilisateurs concernés ont donc reçu, ou vont recevoir prochainement, un email leur détaillant la marche à suivre pour changer leur mot de passe et confirmer leur adresse email.
Dans une
Foire aux questions dédiée au problème, Drupal admet ne pas savoir, à ce jour, comment sont entrés les pirates, mais ajoute enquêter pour le savoir. Le service est cependant clair sur un point : les utilisateurs du CMS qui hébergent ce dernier sur leur propre serveur dédié ou sur un hébergement mutualisé n'ont rien à craindre : le problème vient des serveurs de Drupal.org, et en aucun cas du CMS disponible en téléchargement.
