Introduction
Un même scénario s'est répété au moins cinq fois en quelques mois dans l'écosystème Joomla : une extension accepte un fichier sans vérifier l'identité de l'émetteur, sans contrôler son type, sans exiger de session valide. Résultat identique à chaque fois — un script PHP déposé sur le serveur, puis exécuté à la demande de l'attaquant. En juillet 2026, la CISA a ajouté deux nouvelles entrées à son catalogue des vulnérabilités activement exploitées — iCagenda et Balbooa Forms —, confirmant que la tendance observée depuis le printemps relève d'un problème systémique, pas d'une anomalie ponctuelle.
Un défaut de conception répété à l'identique
La faille qui frappe iCagenda (CVE-2026-48939, CVSS 10.0) réside dans la fonctionnalité de pièces jointes du formulaire public de soumission d'événements. Aucune authentification, aucune restriction sur le type de fichier accepté : un visiteur anonyme peut déposer un script PHP et le voir exécuté par le serveur. Les branches 3.x (de 3.2.1 à 3.9.14) et 4.x (jusqu'à 4.0.7) sont exposées.
Balbooa Forms (CVE-2026-56291, CVSS 10.0 également) souffre du même défaut : pas de token CSRF, pas de vérification d'extension de fichier, aucune session requise. L'endpoint d'upload est ouvert à n'importe quel visiteur anonyme. Trois autres extensions majeures ont présenté des vulnérabilités structurellement identiques au cours du premier semestre 2026 : Page Builder CK (CVE-2026-56290), SP Page Builder (CVE-2026-48908) et Joomla Content Editor (CVE-2026-48907). La racine commune : des contrôleurs qui vérifient parfois un jeton mais omettent de contrôler l'identité de l'appelant — ou qui ne filtrent rien du tout.
Une exploitation automatisée dès les premières heures
Pour iCagenda, les attaques documentées ont débuté le 15 juin 2026. Un scanner identifié comme icagenda-batch/1.0 collecte d'abord un jeton de session, soumet un fichier PHP malveillant, puis accède immédiatement au webshell ainsi déposé — le cycle complet prend quelques secondes. Sur Balbooa Forms, l'absence totale de contrôle d'accès simplifie encore le travail : aucun jeton préalable à récupérer, aucune reconnaissance nécessaire.
La détection passive de ces intrusions est difficile sans journalisation granulaire des requêtes entrantes. Les indicateurs de compromission à vérifier en priorité sont les fichiers PHP présents dans images/icagenda/frontend/attachments/ et dans images/baforms/uploads/. Tout compte administrateur Joomla créé sans justification depuis la mi-juin mérite également un examen immédiat.
Le cadre de remédiation
Le 10 juillet 2026, la CISA a officiellement inscrit les deux CVE à son catalogue KEV, avec une échéance de remédiation fixée au 13 juillet pour les agences fédérales américaines. Au-delà de ce périmètre institutionnel, ce délai fait désormais référence : le catalogue KEV est devenu un étalon de prioritisation adopté bien au-delà du secteur public américain.
Les correctifs sont disponibles et doivent être appliqués sans délai : iCagenda 4.0.8 ou 3.9.15 selon la branche utilisée, Balbooa Forms 2.4.1. La mise à jour seule ne suffit pas — elle doit s'accompagner d'un audit rétrospectif des répertoires d'upload, d'une revue des journaux d'accès depuis le 15 juin, et d'un contrôle des droits administrateur actifs.
L'angle mort structurel des extensions tierces
Pour tout responsable d'un parc de sites Joomla — agence, régie interne, hébergeur mutualisé —, cette vague met en évidence un angle mort persistant : les extensions tierces, gratuites ou commerciales, introduisent une dépendance de sécurité que le cycle de correctifs du CMS principal ne couvre pas. Cinq extensions majeures, cinq scores CVSS à 10.0, un seul semestre : la coïncidence n'est plus une explication recevable.
Une revue régulière des extensions actives, couplée à une veille CVE ciblée sur l'écosystème Joomla, est devenue un prérequis opérationnel — au même titre que la surveillance des dépendances open source dans les chaînes de développement logiciel. Pour les structures dont le site n'a pas réellement besoin d'un CMS extensible, une refonte en site sur mesure réduit mécaniquement cette surface : moins d'extensions tierces, moins de correctifs à suivre.