Tutoriels sur Joomla et la création de site

Le 13 septembre 2026, Regular Labs, l'éditeur d'extensions Joomla très répandues (Articles Anywhere, Modals, Snippets, ReReplacer, Conditional Content…), a publié 24 mises à jour en une seule journée. Dix d'entre elles corrigent des failles de sécurité. Quatre changent volontairement le comportement de votre site après installation. Voici ce que cela implique concrètement pour une entreprise ou une association, et dans quel ordre agir.

Ce qui s'est passé le 13 septembre

Regular Labs a publié en une journée l'ensemble de son catalogue mis à jour, dont dix versions avec la mention « SECURITY FIX » dans leur historique. Les identifiants CVE ont été rendus publics le lendemain matin, avec un score officiel attribué par le CNA Joomla.

Le point important pour un dirigeant : une même faille peut se trouver dans plusieurs extensions à la fois, car elles partagent du code. Mettre à jour un seul outil ne suffit donc pas. Le CVE-2026-85188, par exemple, touche quatre extensions (Advanced Module Manager, Conditional Content, Content Templater et ReReplacer).

Les extensions concernées

Mise à jour du 27 septembre : Regular Labs a publié Tabs & Accordions 3.2.0 et Modules Anywhere 10.0.0, chacun avec un correctif de sécurité supplémentaire (CVE-2026-100751 et CVE-2026-100750). Si vous aviez installé la 3.1.0 de Tabs & Accordions, elle ne suffit plus.

Faut-il s'inquiéter ? La réponse honnête

Ces failles ne permettent pas à un inconnu de prendre le contrôle de votre site depuis l'extérieur : elles supposent un compte avec des droits de rédaction (Auteur, Éditeur…). Le risque devient réel dans trois situations :

• votre site autorise l'inscription publique avec un rôle Auteur ;
• vous avez donné des accès de rédaction à des prestataires, stagiaires ou bénévoles, et personne n'a fait le ménage depuis ;
• un compte d'auteur a déjà été compromis (mot de passe réutilisé, hameçonnage).

Dans ces cas, un simple compte de rédacteur peut devenir une porte d'entrée vers le serveur. C'est pourquoi la mise à jour n'est pas à repousser à « plus tard ».

Attention : quatre de ces mises à jour peuvent casser des fonctionnalités

Articles Anywhere 20.0.0, Conditional Content 8.0.0, Modals 17.0.0 et Snippets 11.0.0 sont marquées « BC BREAK » par l'éditeur. Pour corriger la faille, il a retiré une capacité jusque-là ouverte à tous les auteurs et l'a réservée, par défaut, aux Super Utilisateurs.

Conséquence concrète : si votre site utilise des événements JavaScript, des variables de snippets ou du PHP dans des conditions d'affichage depuis un compte qui n'est pas Super Utilisateur, ces éléments cessent de fonctionner dès la mise à jour, sans message d'erreur. Une page peut simplement s'afficher sans le comportement qu'elle avait la veille.

Helix Ultimate 2.2.10 : le template de votre site est peut-être concerné

Publiée le 27 août 2026, la version 2.2.10 du framework Helix Ultimate (JoomShaper) corrige douze problèmes de sécurité. Le plus notable ne demandait aucune connexion : un paramètre dans l'URL permettait de contourner une page « bientôt disponible » et d'afficher les réglages de template non enregistrés de l'administrateur. Les autres corrections portent sur les envois d'images, le Mega Menu, les boutons de partage et les intégrations vidéo.

Point de vigilance : toutes les versions antérieures sont concernées, y compris la 2.2.9, la plus répandue sur les sites que nous croisons. Nous avions déjà analysé la version précédente dans notre article sur le...