Joomla! : le CERT-FR alerte sur 10 vulnérabilités, dont un contournement du MFA

Le CERT-FR a publié le 19 août 2026 l'avis CERTFR-2026-AVI-1046, qui documente dix vulnérabilités dans Joomla!, l'un des systèmes de gestion de contenu (CMS) les plus utilisés au monde après WordPress. Parmi les risques identifiés : une exécution de code arbitraire à distance, une atteinte à l'intégrité des données, un contournement de la double authentification (MFA) et une injection de code indirecte (XSS). Pour les DPO et RSSI dont l'organisation s'appuie sur Joomla!, c'est un signal à traiter en priorité.

Ce qui s'est passé

L'avis du CERT-FR s'appuie sur dix bulletins de sécurité publiés par l'éditeur Joomla! le 18 août 2026, référencés 1068 à 1077. Ils couvrent des failles variées : injection d'en-têtes dans les vues de téléchargement, validation incorrecte de l'origine CORS, contrôles d'accès (ACL) incohérents sur plusieurs points d'API web-service (champs personnalisés, catégories, actions de copie en masse), XSS via les sorties schema.org, et surtout un contournement de l'authentification multifacteur (MFA) au niveau du cœur du logiciel — la faille la plus sensible du lot. Dix références CVE ont été attribuées, de CVE-2026-71572 à CVE-2026-73373.

Sont concernées toutes les versions de Joomla! antérieures à 5.4.8 (branches 3.x à 5.x) et antérieures à 6.1.3 (branche 6.x). L'éditeur a publié les correctifs ; aucune exploitation active n'est signalée à ce stade, mais l'historique récent des avis CERT-FR sur des CMS comparables (SPIP, Typo3) montre que le délai entre publication et premières tentatives d'exploitation se compte souvent en jours.

Pourquoi c'est important

Joomla! équipe un grand nombre de sites institutionnels, associatifs et de PME en France, souvent avec des espaces membres, formulaires de contact ou back-office contenant des données personnelles. Un contournement de MFA n'est pas une faille comme les autres : il annule une des mesures de sécurité les plus structurantes recommandées par la CNIL et prévues à l'article 32 du RGPD, qui impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Combinée à une exécution de code à distance, cette vulnérabilité peut ouvrir la voie à une prise de contrôle complète du back-office, donc à un accès non autorisé aux données hébergées.

Si une telle intrusion aboutit à une violation de données personnelles, la chaîne de notification RGPD s'enclenche : notification à la CNIL sous 72 heures (article 33) et, en cas de risque élevé pour les personnes concernées, communication individuelle (article 34). C'est un avis de plus dans une série déjà longue en 2026 — Atlassian, SAP, Ivanti, Stormshield — qui confirme que la gestion des correctifs est devenue un sujet de conformité à part entière, pas seulement un sujet IT.

Ce que ça change pour les organisations

Les actions concrètes à mener sans attendre :

• Recenser toutes les instances Joomla! de l'organisation, y compris celles gérées par des prestataires ou sous-traitants (obligation de vigilance au titre de l'article 28 du RGPD).
• Mettre à jour vers la version 5.4.8 ou 6.1.3 selon la branche utilisée, en priorisant les instances exposées sur Internet.
• Vérifier spécifiquement la configuration MFA après mise à jour, la faille touchant directement ce mécanisme.
• Analyser les journaux de connexion et d'administration pour détecter d'éventuels accès suspects antérieurs au correctif.
• Documenter la décision et le délai de remédiation, élément clé en cas de contrôle ou d'incident ultérieur — voir notre guide sur les bonnes pratiques de cybersécurité.

Ce que Leto pense de cette décision

Un avis CERT-FR de plus sur un CMS grand public n'a rien d'exceptionnel en soi — nous en avons couvert une dizaine depuis le début de l'année. Ce qui nous alerte ici, c'est la nature de la faille : un contournement de MFA touche un mécanisme que la plupart des organisations considèrent, à tort, comme une protection suffisante en elle-même. Ce n'est pas un signal pour abandonner le MFA, mais un rappel que la sécurité du traitement au sens de l'article 32 ne se résume jamais à un outil, mais à un ensemble de mesures qu'il faut tester et maintenir à jour en continu.

Sources : Avis CERTFR-2026-AVI-1046, CERT-FR (ANSSI), Bulletin de sécurité Joomla! 1074-20260807