# Faille de sécurité Joomla (PHP2Shell) : sécuriser les sites Joomla > Sécuriser Joomla après PHP2Shell : vérifier PHP dans les informations système, protéger configuration.php, contrôler Super Utilisateurs et extensions. Source : https://phpsos.de/fr/plattformen/joomla/ État : 25/10/2026 Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6 **En bref :** la faille de sécurité Joomla dont on parle actuellement s'appelle PHP2Shell et se situe dans le PHP du serveur, pas dans Joomla. Une mise à jour de Joomla ne la comble pas. Après le correctif PHP et le redémarrage, vous devriez contrôler `configuration.php`, les surcharges de template, les extensions et la liste des Super Utilisateurs. ## Ce que PHP2Shell signifie pour Joomla Joomla est un CMS PHP et hérite de chaque faiblesse du PHP sous-jacent. Les failles CVE-2026-109618 et CVE-2026-109619 permettent, selon l'équipe PHP, d'exécuter du code malveillant sans authentification. Sont concernés les modes d'exploitation habituels : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Ce sont surtout les petits sites Joomla d'associations, d'artisans ou de fédérations qui tournent souvent sur un hébergement mutualisé et sont rarement entretenus. La mise à jour de PHP y relève de l'hébergeur. Votre tâche est de demander l'état et de contrôler le site à la recherche de traces. Les versions concernées sont indiquées dans [Quelles versions de PHP sont concernées ?](https://phpsos.de/fr/php2shell/betroffene-php-versionen/). ## Faille de sécurité Joomla : vérifier la version de PHP Dans l'espace d'administration, **Système > Informations système** affiche la version de PHP et les principaux réglages PHP. C'est la version avec laquelle Joomla fonctionne réellement sur le web. Les versions corrigées en amont sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si Joomla affiche un numéro plus ancien, un backport peut tout de même avoir été appliqué ; votre hébergeur doit le confirmer. Sur un hébergement mutualisé, la version de PHP peut souvent être changée par domaine dans le menu client de l'hébergeur. Cela ne fait toutefois que basculer entre les versions que l'hébergeur met à disposition ; c'est l'hébergeur qui décide si elles sont corrigées. Passer à une version majeure plus récente peut néanmoins être judicieux si votre version de Joomla et toutes les extensions la prennent en charge. Testez-le au préalable, car d'anciennes extensions s'interrompent souvent avec des messages d'erreur sur les versions plus récentes de PHP. Joomla indique lui-même des exigences minimales de PHP par version majeure. Les versions de PHP prises en charge par votre version de Joomla se vérifient dans la configuration requise sur joomla.org. Avec des versions très anciennes de Joomla, un changement de PHP peut d'abord exiger une mise à niveau de Joomla. ## Cachettes typiques du code malveillant dans Joomla | Emplacement | Contenu | À quoi faire attention | |---|---|---| | `configuration.php` | Accès à la base de données, `$secret`, chemins des journaux et du dossier temporaire | Date de modification, code inséré | | `images/`, `media/` | Images et médias | Les fichiers PHP sont suspects | | `tmp/` | fichiers temporaires, y compris d'installations | Restes de paquets étrangers | | `templates//html/` | Surcharges de template avec code PHP | surcharges inconnues ou modifiées | | `plugins/system/` | Plugins système qui se chargent à chaque appel | plugins inconnus | | `administrator/logs/` | Journaux | sauvegarder avant toute modification | | `.htaccess` | Redirections, règles de réécriture | Redirections réservées aux moteurs de recherche | Les plugins système sont particulièrement prisés, car ils s'exécutent à chaque affichage de page. Vous devriez toujours pouvoir expliquer un plugin inconnu dans ce dossier. Contrôles sans danger en ligne de commande (Joomla 4 et suivants disposent de leur propre console) : ```bash # Fichiers PHP dans les dossiers de médias et temporaires find images media tmp -type f -name "*.php" # Lister les utilisateurs et les extensions php cli/joomla.php user:list php cli/joomla.php extension:list ``` > **Important:** > Si votre site Joomla redirige des visiteurs de Google vers des sites étrangers ou si Google affiche un avertissement, le serveur est très probablement déjà compromis. Une mise à jour ne suffit alors pas : il faut un nettoyage, puis une vérification dans la Search Console. ## Accès administrateur et extensions L'espace d'administration se trouve sous `/administrator`. Vérifiez le groupe d'utilisateurs « Super Utilisateurs » à la recherche de comptes inconnus et de comptes d'anciens prestataires. Activez l'authentification à deux facteurs intégrée à Joomla et utilisez des comptes personnels plutôt que partagés. Les extensions du Joomla Extensions Directory et de tiers sont nombreuses sur beaucoup de sites : formulaires, galeries, constructeurs de pages, newsletters. Chacune apporte son propre code PHP et souvent ses propres fonctions d'upload. Les extensions dont l'éditeur ne publie plus de mises à jour sont un risque permanent et compliquent chaque mise à niveau de PHP. Désinstallez entièrement ce qui n'est pas utilisé. ## Ce qu'une mise à jour de Joomla peut faire et ne peut pas faire Une mise à jour de Joomla remplace les fichiers du cœur et comble des failles connues de Joomla. Elle ne corrige pas PHP, ne touche ni aux surcharges de template ni aux extensions tierces et ne supprime aucun fichier qui n'appartient pas au cœur. Les entrées de la base de données, comme de nouveaux Super Utilisateurs, subsistent également. Si votre site a déjà été modifié, la procédure décrite sous [Site piraté ? Aide d'urgence à distance](https://phpsos.de/fr/leistungen/website-gehackt-notfallhilfe/) vous aide. Pour la recherche de portes dérobées, le guide [Reconnaître et supprimer les webshells](https://phpsos.de/fr/ratgeber/webshell-erkennen/) vaut la peine. Si votre site Joomla a été mis en place par une agence ou un indépendant, demandez-leur quelles extensions et quels templates ont été adaptés sur mesure. Les fichiers adaptés ne se comparent pas simplement au paquet d'origine et exigent un contrôle individuel. ## Comment PHP SOS aide-t-il concrètement ? - Nous demandons l'état de PHP à votre hébergeur ou le vérifions sur votre serveur, redémarrage compris. - Nous sauvegardons les journaux, les fichiers et la base de données avant toute modification. - Nous comparons le cœur au paquet d'origine et contrôlons les surcharges, les plugins système, les dossiers de médias et les Super Utilisateurs. - En cas de découvertes, nous nettoyons le site, renouvelons les accès et accompagnons la levée des avertissements de Google. ## Questions fréquentes **Joomla est-il concerné par PHP2Shell ?** Joomla lui-même n'a pas de nouvelle faille, mais il fonctionne sur PHP. Si le PHP du serveur n'est pas corrigé, un attaquant peut, selon l'équipe PHP, exécuter du code sans authentification. Une mise à jour de Joomla n'y change rien. **Où trouver la version de PHP dans Joomla ?** Dans l'espace d'administration, sous Système > Informations système. Vous y voyez aussi les réglages PHP. Le numéro ne permet pas de savoir si un backport a été appliqué ; votre hébergeur doit le confirmer. **Pourquoi les surcharges de template sont-elles un risque ?** Les surcharges se trouvent dans le dossier du template et contiennent du code PHP qui remplace le rendu des composants et des modules. Du code introduit y passe à peine inaperçu, car les surcharges ne sont pas remplacées lors des mises à jour de Joomla. ## Sources - [php.net : avis de sécurité](https://www.php.net/) - [Joomla](https://www.joomla.org/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [Aide de Google Search Console](https://support.google.com/webmasters/)