Points cl\u00e9s<\/p>\n
- \n
- KEV depuis le 10.07.2026.<\/strong> iCagenda et Balbooa Forms font l\u2019objet d\u2019une exploitation sauvage confirm\u00e9e.<\/li>\n
- Niveau de correctif exigeant.<\/strong> iCagenda 4.0.8 \/ 3.9.15 ; Balbooa Forms 2.4.1 ou version ult\u00e9rieure.<\/li>\n
- Indicateurs de compromission dans les dossiers de t\u00e9l\u00e9versement.<\/strong> La pr\u00e9sence de fichiers PHP dans images\/icagenda ou images\/baforms constitue un signal d\u2019alerte.<\/li>\n
- Inventaire prioritaire.<\/strong> Quelles sont les versions des extensions d\u00e9ploy\u00e9es sur vos sites ? Sans cette liste, l\u2019application des correctifs rel\u00e8ve du hasard.<\/li>\n<\/ul>\n<\/div>\n
\n Articles associ\u00e9s :<\/span>
\n Quatre vuln\u00e9rabilit\u00e9s dans le KEV, dont une permettant l\u2019extraction de cl\u00e9s cloud<\/a> \/<\/span>
\n Faille d\u2019upload dans Squidex<\/a>\n<\/p>\nCe que le CISA a ajout\u00e9 au KEV le 10 juillet<\/h2>\n
Qu\u2019est-ce que l\u2019upload KEV pour Joomla ?<\/strong> Une extension tierce permettant un t\u00e9l\u00e9versement non authentifi\u00e9 de types de fichiers dangereux. Le CVE-2026-48939 concerne iCagenda (com_icagenda) via la soumission publique d\u2019\u00e9v\u00e9nements. Le CVE-2026-56291 touche Balbooa Forms (com_baforms) : t\u00e9l\u00e9versement en front-end sans authentification, sans v\u00e9rification CSRF et sans liste blanche des extensions jusqu\u2019\u00e0 la version 2.4.0 incluse.<\/p>\n
\nD\u00e9finition · KEV-Upload-RCE<\/p>\n
Une interface de t\u00e9l\u00e9versement accessible publiquement accepte des fichiers ex\u00e9cutables sans authentification. L\u2019attaquant d\u00e9pose un fichier PHP et obtient une ex\u00e9cution de code \u00e0 distance sur le serveur web.<\/p>\n<\/div>\n
Selon les sources de divulgation, les deux vuln\u00e9rabilit\u00e9s sont des zero-days en cours d\u2019exploitation active. Le CISA les classe comme \u00ab Unrestricted Upload of File with Dangerous Type \u00bb. Pour les agences f\u00e9d\u00e9rales am\u00e9ricaines, la directive BOD 26-04 impose une correction prioritaire. Pour les exploitants DACH, le KEV n\u2019a pas de caract\u00e8re obligatoire, mais constitue un signal fort de priorisation.<\/p>\n
Niveaux de correctifs et versions concern\u00e9es<\/h2>\n
iCagenda : selon mySites.guru, les versions concern\u00e9es sont comprises entre la 3.2.1<\/strong> et la 3.9.14<\/strong> ainsi que les versions 4.0.0<\/strong> \u00e0 4.0.7<\/strong>. Le correctif est disponible dans la version 4.0.8<\/strong> (publi\u00e9e le 15 juin 2026) et dans la branche Legacy 3.9.15<\/strong> (publi\u00e9e le 16 juin 2026). La gravit\u00e9 de cette vuln\u00e9rabilit\u00e9 est critique (score Finder-Matrix souvent \u00e0 9,8, voire 10,0 dans certaines discussions).<\/p>\n
Balbooa Forms : les versions concern\u00e9es vont jusqu\u2019\u00e0 la 2.4.0<\/strong> incluse. Le correctif est disponible dans la version 2.4.1<\/strong> (publi\u00e9e le 9 juillet 2026), avec un score CVSS 4.0 de 10,0 selon Finder. Le fichier des modifications (changelog) listait initialement les mesures sous la rubrique \u00ab Fixed \u00bb sans mention explicite de s\u00e9curit\u00e9. Les utilisateurs filtrant uniquement les entr\u00e9es contenant le terme \u00ab security \u00bb risquent donc de passer \u00e0 c\u00f4t\u00e9 du correctif.<\/p>\n
Inventaire, indicateurs de compromission (IoCs) et checklist<\/h2>\n
Les campagnes de CMS ciblent rarement le c\u0153ur du syst\u00e8me en premier. Elles visent g\u00e9n\u00e9ralement les extensions dot\u00e9es d\u2019une fonction de t\u00e9l\u00e9versement public. Les agences g\u00e9rant de nombreux sites Joomla ont tout int\u00e9r\u00eat \u00e0 \u00e9tablir une liste d\u2019inventaire : site, extension, version, et accessibilit\u00e9 publique (oui\/non). En parall\u00e8le du correctif, il est crucial de v\u00e9rifier les dossiers de t\u00e9l\u00e9versement. Balbooa Forms stocke g\u00e9n\u00e9ralement ses pi\u00e8ces jointes dans le chemin
images\/baforms\/uploads\/<\/code>, tandis que iCagenda utiliseimages\/icagenda<\/code>. Toute pr\u00e9sence inattendue d\u2019un fichier.php<\/code> dans ces r\u00e9pertoires doit \u00eatre consid\u00e9r\u00e9e comme un signe de compromission.<\/p>\n\nKEV Joomla-Upload en urgence<\/p>\n
- \n
- ✓<\/span>Scanner tous les sites utilisant iCagenda et Balbooa Forms, puis exporter les versions install\u00e9es<\/li>\n
- ✓<\/span>Mettre \u00e0 jour imm\u00e9diatement les versions inf\u00e9rieures aux versions minimales requises, sans attendre la prochaine fen\u00eatre de maintenance<\/li>\n
- ✓<\/span>V\u00e9rifier les dossiers de t\u00e9l\u00e9versement pour d\u00e9tecter la pr\u00e9sence de fichiers PHP ou de shells inconnus ; consulter la liste des super-utilisateurs<\/li>\n
- ✓<\/span>Analyser les logs pour rep\u00e9rer les requ\u00eates POST vers les t\u00e2ches de t\u00e9l\u00e9versement de baforms\/icagenda ant\u00e9rieures \u00e0 l\u2019application du correctif<\/li>\n
- ✓<\/span>Configurer le WAF (Web Application Firewall) pour bloquer les t\u00e9l\u00e9versements anonymes avec extensions ex\u00e9cutables jusqu\u2019\u00e0 ce que l\u2019inventaire soit valid\u00e9<\/li>\n<\/ul>\n<\/div>\n
La m\u00eame semaine, la CISA (Cybersecurity and Infrastructure Security Agency) a \u00e9galement int\u00e9gr\u00e9 des vuln\u00e9rabilit\u00e9s li\u00e9es aux constructeurs de sites Joomla dans son catalogue KEV (Known Exploited Vulnerabilities), selon un r\u00e9capitulatif des d\u00e9couvertes concernant Page Builder CK et SP Page Builder. Le sch\u00e9ma est r\u00e9current : des points d\u2019acc\u00e8s anonymes pour les formulaires et requ\u00eates AJAX, d\u00e9pourvus de liste blanche stricte. Les plugins de construction de formulaires et d\u2019\u00e9v\u00e9nements repr\u00e9sentent une surface d\u2019attaque, au m\u00eame titre que les outils de gestion de contenu. Sources principales : alerte CISA du 10 juillet 2026, changelogs des \u00e9diteurs, et analyses techniques de mySites.guru.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nUne mise \u00e0 jour du c\u0153ur de Joomla suffit-elle ?<\/strong><\/summary>\n
Non. Les failles se situent dans les extensions tierces. Les correctifs du c\u0153ur ne remplacent pas une mise \u00e0 jour des extensions.<\/p>\n<\/details>\n
\nSeules les autorit\u00e9s am\u00e9ricaines sont-elles concern\u00e9es ?<\/strong><\/summary>\n
Le KEV (Catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues) cible principalement les FCEB (f\u00e9d\u00e9rations civiles ex\u00e9cutives) am\u00e9ricaines. Une exploitation active est consid\u00e9r\u00e9e comme mondiale. Chaque site Joomla accessible publiquement utilisant ces extensions est concern\u00e9.<\/p>\n<\/details>\n
\nQue faire si une mise \u00e0 jour imm\u00e9diate n\u2019est pas possible ?<\/strong><\/summary>\n
D\u00e9sactiver les formulaires publics avec t\u00e9l\u00e9versement de fichiers ou mettre l\u2019extension hors ligne. Puis proc\u00e9der \u00e0 une analyse forensique avant d\u2019appliquer le correctif.<\/p>\n<\/details>\n
\nQuelles IoC sont pertinentes en pratique ?<\/strong><\/summary>\n
Fichiers PHP inattendus dans images\/baforms et images\/icagenda, nouveaux super-utilisateurs, fichier configuration.php modifi\u00e9, chemins inconnus vers des webshells.<\/p>\n<\/details>\n
\nO\u00f9 se trouve la source primaire\u202f?<\/strong><\/summary>\n
L’alerte CISA KEV du 10.07.2026 concernant les CVE-2026-48939 et CVE-2026-56291 ; les journaux de modifications des versions iCagenda 4.0.8\/3.9.15 et Balbooa 2.4.1 ; analyse notamment par mySites.guru.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/sharepoint-jwt-bypass-cve-2026-55040-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Contournement JWT SharePoint : sites locaux expos\u00e9s<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/bitlocker-bypass-cve-2026-50661-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Contournement de BitLocker en cas d\u2019acc\u00e8s physique<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/vier-luecken-im-kev-eine-zieht-cloud-schluessel-ab-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Quatre failles dans le KEV \u2013 l\u2019une extrait des cl\u00e9s cloud<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
- ✓<\/span>Mettre \u00e0 jour imm\u00e9diatement les versions inf\u00e9rieures aux versions minimales requises, sans attendre la prochaine fen\u00eatre de maintenance<\/li>\n
- Niveau de correctif exigeant.<\/strong> iCagenda 4.0.8 \/ 3.9.15 ; Balbooa Forms 2.4.1 ou version ult\u00e9rieure.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-aws-sovereign-cloud-was-wirklich-getrenn-12030184.jpg\")
<\/span>