Quel est le risque pour votre site ?
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 sont classées critiques, avec un score CVSS de 9,2 sur 10. Elles peuvent permettre à un attaquant non authentifié d'exécuter du code à distance avec les droits du processus web. Les conditions d'exploitation dépendent de l'environnement ; une installation vulnérable n'est pas nécessairement déjà compromise. Les détails figurent dans les premier et second avis de sécurité PHP.
Une mise à jour de Joomla seule ne corrige pas ces vulnérabilités. Elles concernent le moteur PHP utilisé par l'hébergement. Même un site dont le CMS et les extensions sont à jour doit donc faire vérifier son environnement serveur.
Quelles versions installer ?
Les versions correctives publiées le 21 octobre sont les suivantes, pour chacune des branches maintenues :
- PHP 8.2 : 8.2.35
- PHP 8.3 : 8.3.36
- PHP 8.4 : 8.4.27
- PHP 8.5 : 8.5.12
Ces numéros sont confirmés dans l'annonce officielle PHP. Certains fournisseurs appliquent des correctifs rétroportés : dans ce cas, demandez une confirmation explicite de la correction des deux CVE, car le numéro affiché peut différer.
Les démarches à effectuer
- Identifiez la version PHP utilisée par chaque site dans les informations système de Joomla ou avec l'aide de votre hébergeur. Pensez également aux sous-domaines et aux sites de test accessibles sur Internet.
- Contactez votre hébergeur pour obtenir le statut de correction des deux vulnérabilités et, si nécessaire, le délai d'intervention.
- Préparez une sauvegarde des fichiers et de la base de données. Si un changement de branche PHP est nécessaire, vérifiez la compatibilité de votre version de Joomla, du template et des extensions.
- Après l'intervention, contrôlez le fonctionnement du site : navigation, connexion, formulaires et fonctions essentielles. Faites confirmer que le correctif est actif pour le PHP qui sert réellement le site.
Et si la correction n'est pas immédiatement possible ?
Le CERT-EU recommande d'envisager l'isolement des applications exposées lorsqu'une correction immédiate est impossible. Cette mesure doit être organisée avec l'hébergeur. Le simple mode hors ligne de Joomla ne doit pas être considéré comme une protection suffisante : certains chemins d'attaque peuvent intervenir avant l'exécution du CMS, comme l'explique l'avis technique PHP.
La bonne démarche : obtenir la confirmation que les deux failles sont corrigées sur l'hébergement de votre site.
