En un seul mois, dix-neuf failles de sécurité ont été découvertes dans dix-sept extensions Joomla parmi les plus utilisées. Cinq d'entre elles sont notées 10 sur 10 — le maximum absolu de gravité. Plusieurs ont été exploitées par des pirates quelques heures seulement après la publication du correctif. Si votre site Joomla utilise l'une de ces extensions, il faut agir. Expert Joomla, je vous explique lesquelles sont concernées et quoi faire, partout en France.
Que s'est-il passé en juin et juillet 2026 ?
Entre mi-juin et fin juillet 2026, des chercheurs en sécurité ont passé au crible le code des extensions Joomla les plus répandues. Le résultat est spectaculaire : dix-neuf vulnérabilités, la plupart critiques, dans dix-sept extensions différentes. Il ne s'agit pas d'obscurs modules abandonnés, mais de composants installés sur un très grand nombre de sites professionnels : constructeurs de pages, formulaires, agendas, gestionnaires de documents, newsletters. La raison de cette avalanche est simple : contrairement à l'univers WordPress, presque personne ne cherchait activement ces failles jusqu'ici. Elles étaient là depuis longtemps ; il a suffi que quelqu'un se mette à regarder.
Une précision importante : Joomla lui-même n'est pas en cause
Aucune de ces dix-neuf failles ne se trouve dans le cœur de Joomla. Toutes concernent des extensions tierces — les composants, plugins et modules que l'on ajoute par-dessus. Joomla, tenu à jour, reste l'un des CMS les mieux sécurisés. Le risque vit là où il vit sur tous les CMS : dans les extensions que l'on installe et que l'on oublie ensuite de surveiller. C'est précisément pour cela que « mettre Joomla à jour » ne représente que la moitié du travail.
Quelles sont les extensions les plus dangereuses ?
Cinq failles atteignent le score maximal de 10 sur 10. Elles permettent à un inconnu, sans aucun identifiant, de prendre le contrôle du serveur ou de se créer un compte administrateur. Les extensions concernées sont : SP Page Builder, PageBuilder CK, Balbooa Forms, RSFiles! et Gridbox. Si votre site utilise l'une d'elles, la vérification de sa version est une priorité absolue. D'autres extensions très répandues sont également touchées à un niveau élevé : iCagenda, AcyMailing, DPCalendar, Events Booking, Phoca Download, ainsi que les frameworks de template Helix3 et Helix Ultimate.
Associations, mairies, collectivités : vous êtes en première ligne
Plusieurs des extensions touchées sont typiquement celles qu'utilisent les associations et les collectivités : les agendas d'événements comme iCagenda ou DPCalendar, les composants de réservation comme Events Booking. Ces outils affichent des formulaires publics — inscription à un événement, dépôt d'une annonce — et ce sont précisément ces portes ouvertes au public que les failles exploitent. Si votre site associatif ou municipal propose un agenda ou un formulaire d'inscription, il mérite un contrôle sans attendre.
Ce n'est pas une menace théorique : la CISA a tranché
Quatre de ces failles ont été inscrites en une seule semaine au catalogue des vulnérabilités « activement exploitées » de la CISA, l'agence américaine de cybersécurité. Cette liste ne recense pas des risques hypothétiques : elle recense les failles dont les attaques ont été observées en conditions réelles. Les administrations fédérales américaines ont eu l'ordre de les corriger sous trois jours. Quand une agence gouvernementale impose ce niveau d'urgence, le message est clair : ces portes sont déjà activement forcées.
Le vrai danger : le délai entre le correctif et l'attaque
Voici le point que la plupart des propriétaires de sites ignorent. Dès qu'un correctif est publié, il devient une carte pour les pirates : en comparant l'ancienne et la nouvelle version, un attaquant comprend exactement quelle faille était présente, et peut écrire un programme d'attaque automatisé en quelques heures. Plusieurs des failles de ce mois ont été exploitées à grande échelle dans les heures qui ont suivi la publication du correctif. Le vieux réflexe « je mettrai à jour ce week-end » est devenu une stratégie perdante : le week-end, il est souvent déjà trop tard.
Comment savoir si mon site est concerné ?
Il faut d'abord établir l'inventaire exact des extensions installées sur votre site — y compris celles que vous avez oubliées ou qui ont été ajoutées en dépendance d'un autre module. Ensuite, comparer chaque version installée avec la version corrigée. C'est un travail méthodique qui demande de savoir où regarder. Je le fais pour vous : un diagnostic à 150 €, déduits de l'intervention si vous me la confiez, vous donne un état des lieux clair de vos extensions à risque. Le détail est sur la page tarifs sécurité et réparation Joomla.
Si votre site a déjà été touché
Mettre à jour l'extension referme la porte, mais ne retire pas ce que le pirate a pu déposer avant. Un fichier malveillant ou un compte administrateur caché resté en place permet de re-pirater le site des semaines plus tard. Si vous pensez avoir été exposé, voici quoi faire en urgence face à un site piraté, et notamment face au défacement « Hacked by AntonKill » lié au framework Helix3.
La seule vraie protection : la surveillance continue
Dix-neuf failles en un mois, ce n'est pas une exception : c'est le rythme normal d'un écosystème vivant. La question n'est pas de savoir si une nouvelle faille touchera une de vos extensions, mais quand. La seule protection durable consiste à tenir l'inventaire de ce qui tourne sous le capot, à appliquer les correctifs dès leur sortie, et à surveiller en continu. C'est tout l'objet de nos contrats de maintenance Joomla.
