L'éditeur JCE pour Joomla permettait de déposer du code : mettez à jour et vérifiez

En juin 2026, le développeur de JCE (Joomla Content Editor), l'un des éditeurs les plus utilisés sur les sites Joomla, a publié le 3 juin la version 2.9.99.5 pour corriger une faille critique, suivie sous le nom CVE-2026-48907. Un attaquant sans compte pouvait importer un nouveau profil d'éditeur autorisant l'envoi de fichiers exécutables, puis s'en servir pour déposer un script et prendre le contrôle du site.

Le développeur a indiqué que la faille était activement exploitée, que du code d'exploitation fonctionnel était public et que les attaques étaient automatisées. Les sites sans inscription publique n'étaient pas considérés comme à l'abri. L'agence américaine CISA a ajouté la faille à son catalogue de vulnérabilités exploitées le 16 juin 2026.

Qui est concerné

Les sites Joomla équipés de JCE avant la version 2.9.99.5. Le développeur recommande la version 2.9.99.9 pour tous les sites, qui demande PHP 7.4 et Joomla 3.9 ou plus récent. Pour les sites anciens qui ne peuvent pas être mis à jour, un correctif gratuit couvre JCE 2.7, 2.8 et 2.9, mais il ferme seulement la faille et reste une solution temporaire. JCE 2.6 n'est plus pris en charge.

Contrairement à une mise à jour du serveur, votre hébergeur ne met généralement pas à jour les extensions de votre site Joomla. Cela revient au propriétaire du site ou à son développeur.

Comment vérifier votre site

• Dans l'administration Joomla, ouvrez Système, puis Gérer, puis Extensions, et cherchez JCE. La version figure dans la liste.
• Dans l'écran des profils de l'éditeur JCE, repérez les profils que vous ne reconnaissez pas, souvent avec un nom aléatoire en haut de la liste, ou ceux qui autorisent les fichiers PHP.
• Demandez à votre hébergeur ou à votre développeur de chercher dans les journaux d'accès les requêtes contenant option=com_jce&task=profiles.import, et des fichiers PHP inconnus dans les dossiers images, media et tmp.

Quoi faire maintenant

1. Mettez JCE à jour en 2.9.99.9 dès maintenant. Sinon, appliquez le correctif du développeur après un essai sur une copie, ou désinstallez JCE.
2. La mise à jour ferme la porte mais ne supprime pas une intrusion. Si vous trouvez des profils ou fichiers inconnus, gardez-en une copie, puis supprimez uniquement ces profils et les fichiers envoyés par leur biais.
3. Après une compromission, changez les mots de passe de l'administrateur Joomla, de la base de données et de l'hébergement ou du FTP, et demandez une analyse antivirus complète à votre hébergeur.
4. Conservez une sauvegarde récente en dehors du serveur.

Les sites mis à jour depuis juin 2026 sont très probablement protégés contre cette faille, mais un site a pu être atteint avant la mise à jour : les vérifications ci-dessus restent utiles. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.