JCE : faille critique de téléversement, activement exploitée
Version sécurisée : JCE 2.9.99.5 – mieux 2.9.99.6 · JCE Core free · Pro with account
En bref
com_jceDe quoi s’agit-il ?
JCE (JoomlaContentEditor) est l'un des éditeurs les plus répandus sous Joomla. Le développeur attribue la faille à un contrôle d'accès insuffisant : des utilisateurs non authentifiés pouvaient téléverser des profils d'éditeur et, par ce biais, déposer des fichiers arbitraires sur le serveur.
Sont concernées toutes les versions antérieures à 2.9.99.5 – aussi bien JCE Free que JCE Pro – et ce que l'inscription publique soit activée ou non. Le correctif est paru le 3 juin 2026 sous le numéro 2.9.99.5 ; à l'issue d'un audit de sécurité complet, la version 2.9.99.6 a suivi le 8 juin 2026.
La faille est activement exploitée : les attaquants s'en servent pour installer des webshells. Comme aucune connexion n'est nécessaire, les sites sans inscription ouverte sont eux aussi exposés. Les profils d'éditeur portant un nom aléatoire ou affectés au groupe « Public » sont particulièrement suspects. (Historiquement, JCE avait déjà été la cible d'attaques massives en 2011/2012 – CVE-2012-2902.)
Mon site est-il concerné ? – Comment le vérifier
- Ouvrez le back-end
Connectez-vous à l'administration de Joomla.
- Vérifiez la version de JCE
Ouvrez Composants›JCE Editor. Le numéro de version y est affiché.
- Évaluez la version
Si la version est inférieure à 2.9.99.5, une intervention immédiate s'impose.
- Contrôlez les profils d'éditeur
Vérifiez que les profils d'éditeur JCE ne contiennent aucune entrée inconnue portant un nom aléatoire ou affectée au groupe Public.
Comment corriger la faille
- Ouvrez le gestionnaire de mises à jour
Allez dans Système›Mise à jour›Extensions et cliquez sur Rechercher les mises à jour.
- Mettez JCE à jour
Sélectionnez l'entrée JCE et cliquez sur Mettre à jour (version cible 2.9.99.5 / 2.9.99.6).
- Vérifiez la version
Contrôlez dans Composants›JCE Editor que la nouvelle version est bien active.
Source officielle : JCE Core free · Pro with account. Assurez-vous d’avoir au minimum la version JCE 2.9.99.5 – mieux 2.9.99.6.
Le site a-t-il déjà été piraté ?
Besoin d’aide pour le nettoyage ? Vous trouverez des spécialistes qualifiés dans l’annuaire des prestataires Joomla.
Sources & liens utiles
- Analyse détaillée – Website-Bereinigung.deDéroulement de l'attaque, détection, nettoyage
- JoomlaContentEditor (développeur)Téléchargements officiels et notes de version
Les informations officielles de l’éditeur concerné font toujours foi. Cette page résume de manière neutre des informations accessibles publiquement.
Failles similaires
D’autres extensions présentent des failles comparables. Vérifiez si l’une d’elles est installée sur votre site.
Ils soutiennent ce site
htprotect.org est un service d’information gratuit et indépendant des éditeurs. Il bénéficie du soutien de :
Hébergeur Joomla basé en Allemagne, avec un support communautaire actif – il a détecté la première attaque exploitant la faille de sécurité JCE.
fc-hosting.de
Spécialiste du nettoyage, de la maintenance et de la sécurisation des sites Joomla et WordPress.
website-bereinigung.deSoutenir ce projet
Vous proposez des services d’hébergement ou des prestations Joomla et souhaitez soutenir htprotect.org – et figurer ici parmi nos soutiens ? Chaque contribution nous aide à alerter et à protéger plus vite les personnes concernées.
Vous préférez donner discrètement, sans figurer dans la liste ? Un petit geste pour la cagnotte nous fait tout autant plaisir.
Fabrication et pose de panneaux de chantier, de clôtures de chantier et de solutions de façade – design et visualisation 3D inclus.
bauschildundservice.deAssistance informatique professionnelle depuis la Tchéquie – gestion Windows, administration de domaines et hébergement web.
defendersoft.cz
Portail de voyage allemand – séjours tout compris, hôtels et vols en ligne, avec les conseils personnalisés d’une agence de voyages.
onlineweg.de
Agence de création basée dans le Brandenburg – conception de sites web, supports imprimés, photographie et panoramas à 360°, le tout chez un seul prestataire.
criadero.dePrestataire informatique basé à Wächtersbach – sites Joomla, dépannage PC, matériel et logiciels.
jahnedv.de
Conseil en sécurité de l’information basé à Berlin – analyses de sécurité, gestion des risques et ISO 27001 pour les PME.
isari-consult.de
Création média basée à Friedrichshafen – sites Joomla et WordPress, boutiques en ligne, graphisme et 3D.
schippelbein.com