HTProtect.org
Site d’information indépendant sur les failles de sécurité Joomla
FR
HTProtect HTProtect JOOMLA SECURITY
Nouveau htprotect.app - Gestion centralisée de plusieurs sites Joomla
htprotect.org Failles de sécurité & guides de mise à jour
Nouveau htprotect.app - Gestion centralisée de plusieurs sites Joomla
Faille de sécurité

Astroid Framework – faille RCE critique (téléversement)

Critique Activement exploitéeCVE-2026-21628
Agissez sans attendre
Mettez Astroid à jour en 3.3.13 ou plus récent – et nettoyez le site si vous soupçonnez une compromission.
Télécharger la version sécurisée Voir les étapes de mise à jour

Version sécurisée : Astroid 3.3.13 ou plus récent · direct download (GitHub, open source)

En bref

Extension concernée
Astroid Framework (framework de templates)
Éditeur
TemPlaza
Type de faille
Téléversement de fichiers sans authentification → exécution de code à distance (RCE) ; détourne un jeton CSRF de la page de connexion publique
Versions concernées
Astroid 2.0.0 à 3.3.10
Version sécurisée
Astroid 3.3.13 ou plus récent   Télécharger
Gravité
Critique · activement exploitée
CVE
CVE-2026-21628
Compatibilité Joomla
Joomla 4 / 5 / 6
Dernière mise à jour / publication
Au 11 mars 2026

De quoi s’agit-il ?

Astroid Framework sert de socle à de nombreux templates Joomla. La faille permet à un attaquant de téléverser des fichiers sur le serveur sans aucune authentification. Pour cela, il détourne un jeton CSRF qui se lit sur la page de connexion, librement accessible. Dans le pire des cas, cela ouvre la voie à l’exécution de code à distance (Remote Code Execution).

Les versions 2.0.0 à 3.3.10 sont vulnérables. La faille est référencée sous l’identifiant CVE-2026-21628. Elle est corrigée depuis la version 3.3.11 ; la mise à jour vers la 3.3.13 ou une version plus récente est recommandée.

Important : une simple mise à jour ne suffit pas si l’attaque a déjà eu lieu. Sur le terrain, des fichiers « dropper » (p. ex. blp_9948.php) ont servi à installer des plugins de type porte dérobée comme BLPayload ou JCachePro – et ceux-ci subsistent après la mise à jour.

Mon site est-il concerné ? – Comment le vérifier

  1. Ouvrir l’administration

    Connectez-vous à l’administration de Joomla.

  2. Vérifier la version d’Astroid

    La version installée s’affiche dans la gestion des templates (Système›Modèles) ou sous Extensions›Gestion›Gérer en filtrant sur « Astroid ».

  3. Évaluer la version

    Si la version se situe entre 2.0.0 et 3.3.10, une intervention immédiate s’impose.

  4. Rechercher les portes dérobées

    Inspectez /plugins/system/ à la recherche d’entrées suspectes comme BLPayload ou JCachePro, ainsi que de fichiers correspondant au motif blp_*.php.

Comment corriger la faille

Avant toute mise à jour : faites une sauvegarde
Sauvegardez vos fichiers et votre base de données avant de mettre à jour – vous pourrez ainsi revenir en arrière en cas de problème (par exemple avec Akeeba Backup ou via votre hébergeur).
  1. Ouvrir le gestionnaire de mises à jour

    Rendez-vous dans Système›Mise à jour›Extensions et cliquez sur Rechercher les mises à jour.

  2. Mettre Astroid à jour

    Sélectionnez la ligne Astroid et lancez la mise à jour vers la 3.3.13 ou une version plus récente.

  3. Contrôler la version

    Vérifiez ensuite que la nouvelle version a bien été prise en compte.

Installation manuelle (autre méthode)
Vous pouvez aussi télécharger le paquet depuis votre compte Astroid/TemPlaza et l’installer via Extensions›Gestion›Installer.
Télécharger la version sécurisée

Source officielle : direct download (GitHub, open source). Assurez-vous d’avoir au minimum la version Astroid 3.3.13 ou plus récent.

Le site a-t-il déjà été piraté ?

En cas de compromission, la mise à jour ne suffit pas
Une mise à jour ne supprime pas le code malveillant déjà en place. Surveillez les plugins du type BLPayload/JCachePro et les fichiers dropper (blp_*.php). Il faut alors : un nettoyage complet, le changement de tous les mots de passe (administrateur Joomla, FTP/SSH, base de données) et un contrôle dans la Google Search Console.

Besoin d’aide pour le nettoyage ? Vous trouverez des spécialistes qualifiés dans l’annuaire des prestataires Joomla.

Sources & liens utiles

Les informations officielles de l’éditeur concerné font toujours foi. Cette page résume de manière neutre des informations accessibles publiquement.

Failles similaires

D’autres extensions présentent des failles comparables. Vérifiez si l’une d’elles est installée sur votre site.

Framework Helix3Critiqueactivement exploitée
JoomShaperEn savoir plus
JCE EditorCritiqueactivement exploitée
JoomlaContentEditorEn savoir plus
SP Page BuilderCritiqueactivement exploitée
JoomShaperEn savoir plus
Voir toutes les failles de sécurité
Nos soutiens

Ils soutiennent ce site

htprotect.org est un service d’information gratuit et indépendant des éditeurs. Il bénéficie du soutien de :

Hébergeur & communauté
FC-Hosting

Hébergeur Joomla basé en Allemagne, avec un support communautaire actif – il a détecté la première attaque exploitant la faille de sécurité JCE.

fc-hosting.de
Initiateur & gestionnaire
Website-Bereinigung.de

Spécialiste du nettoyage, de la maintenance et de la sécurisation des sites Joomla et WordPress.

website-bereinigung.de

Soutenir ce projet

Vous proposez des services d’hébergement ou des prestations Joomla et souhaitez soutenir htprotect.org – et figurer ici parmi nos soutiens ? Chaque contribution nous aide à alerter et à protéger plus vite les personnes concernées.

Vous préférez donner discrètement, sans figurer dans la liste ? Un petit geste pour la cagnotte nous fait tout autant plaisir.

Soutenir HTProtect dès maintenant
Bauschild & Service

Fabrication et pose de panneaux de chantier, de clôtures de chantier et de solutions de façade – design et visualisation 3D inclus.

bauschildundservice.de
IT Specialista

Assistance informatique professionnelle depuis la Tchéquie – gestion Windows, administration de domaines et hébergement web.

defendersoft.cz
onlineweg.de

Portail de voyage allemand – séjours tout compris, hôtels et vols en ligne, avec les conseils personnalisés d’une agence de voyages.

onlineweg.de
Criadero

Agence de création basée dans le Brandenburg – conception de sites web, supports imprimés, photographie et panoramas à 360°, le tout chez un seul prestataire.

criadero.de
Jahn EDV-Dienst GmbH

Prestataire informatique basé à Wächtersbach – sites Joomla, dépannage PC, matériel et logiciels.

jahnedv.de
IsariConsult

Conseil en sécurité de l’information basé à Berlin – analyses de sécurité, gestion des risques et ISO 27001 pour les PME.

isari-consult.de