Étude de cas · histoire vraie
Comment des sites Joomla ont été piratés par SP Page Builder
Septembre 2026. Plusieurs sites Joomla d'un même hébergement ont été piratés pendant que leur propriétaire était absent quatre mois. Je l'ai vécu, je l'ai réparé. Voici ce qui s'est passé, et les fichiers à chercher sur votre propre site.
En bref
Ce qui s'est passé
SP Page Builder est une extension très utilisée pour construire des pages Joomla. Jusqu'à la version 6.6.1, une de ses fonctions, celle qui sert à envoyer des icônes personnalisées, acceptait des fichiers de n'importe qui, sans vérifier qui les envoyait. La faille porte le numéro officiel CVE-2026-48908, avec la note de gravité maximale : 10 sur 10.
L'éditeur l'a corrigée le 14 juin 2026 (version 6.6.2). Mais tous les sites qui n'ont pas été mis à jour sont restés ouverts. Des robots automatiques parcourent Internet et testent cette faille sur des milliers de sites, chaque jour. Ce n'est pas une attaque personnelle : c'est une moisson.
Ici, les sites n'avaient pas été mis à jour pendant l'absence de leur propriétaire. Les robots sont passés, et ont déposé leurs fichiers.
Les traces qu'on a trouvées
Voici où regarder sur votre site. Si vous trouvez quelque chose de ce genre, ne l'ouvrez pas et ne paniquez pas : faites d'abord une sauvegarde, puis faites-vous aider.
| Ce qu'on a trouvé | Où |
|---|---|
| Des fichiers PHP déguisés en polices de caractères (de faux fichiers d'icônes qui sont en réalité des programmes) | media/com_sppagebuilder/assets/iconfont/ et des dossiers fonts dans images/ |
Un programme caché qui se fait passer pour un fichier du système, avec un nom commençant par un point (par exemple .ld-linux.so) |
à la racine de l'hébergement |
| Une relance automatique du pirate, ajoutée dans des fichiers de réglage du serveur | .bashrc et .bash_profile |
L'hébergeur a fini par repérer ces fichiers et a bloqué temporairement l'hébergement. C'est souvent comme ça que le propriétaire l'apprend.
Comment on a réparé
Comment éviter que ça vous arrive
- Vérifiez votre version de SP Page Builder : dans l'administration, Système › Gérer › Extensions. Il faut 6.6.2 ou plus récent.
- Ne laissez jamais un site sans mises à jour plusieurs mois, même pendant des vacances.
- Gardez des sauvegardes vérifiées, rangées ailleurs que sur le serveur.
- Désinstallez les extensions que vous n'utilisez plus : chaque extension est une porte de plus.
Sources : avis de sécurité publics de l'éditeur JoomShaper et du catalogue CVE (CVE-2026-48908).
Votre site utilise SP Page Builder ?
Je vérifie gratuitement sa version et je vous dis s'il est exposé.