Balbooa Gridbox : 7 failles, mettre à jour ne suffit pas
Version sécurisée : Balbooa Gridbox 2.20.2 ou supérieur · via Balbooa (account required)
En bref
com_gridbox)De quoi s’agit-il ?
Balbooa Gridbox est un constructeur de pages pour Joomla, du même éditeur que Balbooa Forms. Les versions jusqu'à la 2.20.1 incluse cumulent plusieurs failles de sécurité graves – sept d'entre elles portent leur propre identifiant CVE.
Trois atteignent le score maximal de 10 sur 10 : une élévation de privilèges qui permettait de créer un compte administrateur sans être connecté (CVE-2026-65884), la réinitialisation du mot de passe de n'importe quel autre utilisateur (CVE-2026-65887) et la prise de contrôle de comptes existants (CVE-2026-65888). S'y ajoutent un accès aux fichiers sans connexion, une injection SQL et un contrôle des droits contournable.
C'est le point décisif : avec ces failles, la mise à jour ne suffit pas forcément. Si votre site a fonctionné un certain temps sous une version allant jusqu'à la 2.20.1, un compte administrateur créé à votre insu peut déjà s'y trouver. La mise à jour referme la porte d'entrée – mais un compte déjà créé, lui, reste en place tant que personne ne le supprime.
Mon site est-il concerné ? – Comment le vérifier
- Ouvrez le back-end
Connectez-vous à l'administration de Joomla.
- Vérifiez la version
Ouvrez Extensions›Gestion›Gérer et filtrez sur « Gridbox ». Si la version affichée est 2.20.1 ou inférieure, le site est vulnérable.
- Contrôlez la liste des utilisateurs
Ouvrez Utilisateurs›Gérer et recherchez les comptes que vous n'avez pas créés vous-même – en particulier ceux dont le nom d'utilisateur est inhabituel et l'adresse e-mail jetable. Ne supprimez rien à l'aveugle : vérifiez d'abord.
- Passez les extensions en revue
Dans Extensions›Gestion, contrôlez également la liste des plugins pour y repérer des entrées que vous n'avez jamais installées.
Comment corriger la faille
- Avant la mise à jour : sauvegardez
Sauvegardez vos fichiers et votre base de données avant de mettre à jour.
- Ouvrez le gestionnaire de mises à jour
Allez dans Système›Mise à jour›Extensions et cliquez sur Rechercher les mises à jour.
- Mettez Gridbox à jour
Sélectionnez l'entrée correspondante et passez en 2.20.2 ou supérieur. La 2.20.1 ne suffit pas.
- Ensuite : contrôlez les comptes
Ce n'est qu'après la mise à jour qu'il faut passer la liste des utilisateurs en revue – un compte créé auparavant ne disparaît pas de lui-même.
Source officielle : via Balbooa (account required). Assurez-vous d’avoir au minimum la version Balbooa Gridbox 2.20.2 ou supérieur.
Le site a-t-il déjà été piraté ?
Besoin d’aide pour le nettoyage ? Vous trouverez des spécialistes qualifiés dans l’annuaire des prestataires Joomla.
Sources & liens utiles
- CVE-2026-65884 – élévation de privilègesGravité 10 sur 10
- CVE-2026-65887 – réinitialisation du mot de passe d'autruiGravité 10 sur 10
- CVE-2026-65888 – prise de contrôle de compteGravité 10 sur 10
- Balbooa (éditeur)Où obtenir la version sécurisée 2.20.2
Les informations officielles de l’éditeur concerné font toujours foi. Cette page résume de manière neutre des informations accessibles publiquement.
Failles similaires
D’autres extensions présentent des failles comparables. Vérifiez si l’une d’elles est installée sur votre site.
Ils soutiennent ce site
htprotect.org est un service d’information gratuit et indépendant des éditeurs. Il bénéficie du soutien de :
Hébergeur Joomla basé en Allemagne, avec un support communautaire actif – il a détecté la première attaque exploitant la faille de sécurité JCE.
fc-hosting.de
Spécialiste du nettoyage, de la maintenance et de la sécurisation des sites Joomla et WordPress.
website-bereinigung.deSoutenir ce projet
Vous proposez des services d’hébergement ou des prestations Joomla et souhaitez soutenir htprotect.org – et figurer ici parmi nos soutiens ? Chaque contribution nous aide à alerter et à protéger plus vite les personnes concernées.
Vous préférez donner discrètement, sans figurer dans la liste ? Un petit geste pour la cagnotte nous fait tout autant plaisir.
Fabrication et pose de panneaux de chantier, de clôtures de chantier et de solutions de façade – design et visualisation 3D inclus.
bauschildundservice.deAssistance informatique professionnelle depuis la Tchéquie – gestion Windows, administration de domaines et hébergement web.
defendersoft.cz
Portail de voyage allemand – séjours tout compris, hôtels et vols en ligne, avec les conseils personnalisés d’une agence de voyages.
onlineweg.de
Agence de création basée dans le Brandenburg – conception de sites web, supports imprimés, photographie et panoramas à 360°, le tout chez un seul prestataire.
criadero.dePrestataire informatique basé à Wächtersbach – sites Joomla, dépannage PC, matériel et logiciels.
jahnedv.de
Conseil en sécurité de l’information basé à Berlin – analyses de sécurité, gestion des risques et ISO 27001 pour les PME.
isari-consult.de