L’Agence américaine de cybersécurité et de sécurité des infrastructures, la CISA, a ordonné aux agences fédérales de corriger une faille de sévérité maximale dans le plugin Joomla Content Editor de Widget Factory. Cette vulnérabilité fait l’objet d’exploitations actives.
Cette faille, référencée sous le code CVE-2026-48907, permet à des acteurs malveillants d’exécuter du code à distance sur des installations Joomla qui utilisent l’éditeur visuel JCE. L’attaque ne requiert aucun privilège préalable et sa complexité technique est faible.
La CISA a averti que le plugin Joomla Content Editor contient une faille de contrôle d’accès défaillante. Elle peut permettre le téléchargement et l’exécution de code PHP via la création de nouveaux profils éditeur, et ce, par des utilisateurs non authentifiés.
L’équipe de sécurité du JCE a résolu ce problème début juin avec la publication de la version JCE Pro 2.9.99.6. Elle a exhorté les utilisateurs à appliquer ce correctif sans délai.
L’équipe a précisé que les attaques sont automatisées et que le code d’exploitation est public. Mettre à jour le logiciel ferme le point d’entrée mais ne nettoie pas un site qui aurait déjà été compromis. Une mise à jour n’efface pas les artefacts laissés par un attaquant.
Pour assainir un site infecté, les utilisateurs doivent d’abord sauvegarder les profils frauduleux à des fins d’analyse. Ils doivent ensuite installer la version JCE 2.9.99.6 ou une version ultérieure, supprimer le profil créé par l’attaquant et modifier tous les mots de passe, y compris ceux du compte administrateur, de la base de données et de l’hébergement. Une analyse antivirale complète du serveur est également nécessaire pour vérifier l’absence d’autres outils malveillants.
La CISA a ajouté cette vulnérabilité à son catalogue des failles exploitées activement. Elle a enjoint aux agences de la branche exécutive fédérale civile de sécuriser leurs systèmes d’ici vendredi, conformément à la directive opérationnelle contraignante BOD 26-04.
L’agence a déclaré que ce type de faille constitue un vecteur d’attaque récurrent pour les cybercriminels et représente un risque majeur pour le gouvernement fédéral. Elle a rappelé que les parties prenantes doivent évaluer l’exposition de chaque actif sur internet et se conformer aux directives de correction de la BOD 26-04.
Cette directive, publiée la semaine dernière, exige que les agences gouvernementales américaines hiérarchisent l’application des correctifs en fonction du risque d’exploitation de chaque vulnérabilité. Pour évaluer ce risque, il faut tenir compte de plusieurs facteurs, comme la présence de la faille dans le catalogue de la CISA, l’exposition publique des systèmes vulnérables, la possibilité d’une exploitation automatisée à grande échelle, et le niveau de contrôle que la faille pourrait offrir à un attaquant sur le système ciblé.