Joomla 6.1.4 et 5.4.9 (29 septembre 2026) corrigent 16 failles, dont un contournement de la double authentification. Joomla 5 passe en support de sécurité seul le 13 octobre 2026 : mettez à jour et planifiez Joomla 6.
Sommaire
Joomla 6.1.4 et Joomla 5.4.9 sont sortis le 29 septembre 2026 et corrigent 16 failles de sécurité, dont un contournement de l’authentification à deux facteurs et une création de compte non autorisée. Au même moment, la branche Joomla 5 arrive en fin de support correctif le 13 octobre 2026. Deux bonnes raisons de faire le point sur vos sites Joomla cette semaine.
Ce qui change
D’après l’annonce officielle de Joomla, cette double version publie 16 bulletins de sécurité (20260901 à 20260916). Voici comment je les classe pour mes clients :
| Type de faille | Nombre | Ce que ça veut dire concrètement |
|---|---|---|
| XSS (injection de script) | 7 | Du code JavaScript malveillant peut s’afficher dans le site ou l’administration (liens, médias, modèles d’e-mails HTML, liste des modules…). |
| Contrôles d’accès (ACL) insuffisants | 5 | Un utilisateur peut voir ou modifier des choses qui ne lui sont pas destinées (API web services, historique des contenus, étapes de workflow…). |
| Contournement de la double authentification | 1 | Le cookie « se souvenir de moi » permettait de passer outre le MFA. |
| Création de compte non autorisée | 1 | Via le contrôleur profile.save. |
| Suppression de dossiers arbitraires | 1 | Via la purge du cache. |
| SSRF | 1 | Le serveur peut être utilisé pour envoyer des requêtes vers d’autres machines. |
Joomla ne publie pas de niveau de gravité dans l’annonce, mais le contournement du MFA et la création de compte touchent directement le contrôle d’accès au site. Si vous avez activé la double authentification pour vos administrateurs, c’est justement pour vous protéger de ce genre de scénario.
La version corrige aussi plusieurs bugs, dont une erreur liée à open_basedir et une vérification TOTP rendue plus robuste.
Joomla 5 : fin du support correctif le 13 octobre
Selon la feuille de route officielle, Joomla 5.4 reçoit des correctifs de bugs jusqu’au 13 octobre 2026, puis uniquement des correctifs de sécurité jusqu’au 12 octobre 2027. Joomla 6.2 est prévu pour le 13 octobre 2026 (date indicative). Un site en Joomla 5 reste donc protégé encore un an, mais c’est le bon moment pour planifier le passage en Joomla 6.
Ce qui peut casser
- L’API Web Services en Joomla 5.4.9 : Joomla signale un problème connu. Les requêtes
PATCHde l’API provoquent une erreur fatale. Le correctif est documenté dans le manuel et sera livré en 5.4.10. Si une application, une appli mobile ou un connecteur (ERP, CRM) modifie vos contenus via l’API, testez avant de mettre à jour, ou appliquez le correctif documenté. - Les extensions qui surchargent les mises en page : plusieurs failles XSS sont corrigées dans des layouts (médias, barre d’outils, liste des modules). Si votre template ou une extension surcharge ces layouts (dossier
htmldu template), vérifiez l’affichage. - Les permissions personnalisées : les corrections d’ACL peuvent retirer un accès qu’un rôle utilisait « par erreur ». Si un rédacteur ne peut plus faire une action après la mise à jour, c’est peut-être que la faille lui permettait de la faire.
- Les comptes MFA : après la mise à jour, certains utilisateurs pourraient devoir saisir à nouveau leur code de double authentification. C’est normal.
Faut-il mettre à jour maintenant ?
Oui. Avec 16 failles publiques, les détails sont désormais connus de tous, y compris des robots qui scannent les sites Joomla. Mon conseil :
- Joomla 6.1.x : passez en 6.1.4 tout de suite.
- Joomla 5.4.x : passez en 5.4.9 (en tenant compte du problème de l’API), puis planifiez Joomla 6 dans les prochains mois.
- Joomla 4 ou Joomla 3 : ces versions ne reçoivent plus aucun correctif. Ces 16 failles ne seront jamais corrigées chez vous. Lisez comment migrer de Joomla 3 vers Joomla 6.
Attention à Joomla 6 : il demande au minimum PHP 8.3 selon les prérequis techniques officiels. Vérifiez votre hébergement avant de planifier la migration.
Checklist avant de mettre à jour
- Sauvegarde complète avec Akeeba Backup (ou équivalent) et test de restauration.
- Lancez l’outil de vérification avant mise à jour de Joomla (Système > Mise à jour de Joomla) pour repérer les extensions incompatibles.
- Listez les intégrations qui utilisent l’API Web Services (surtout en Joomla 5.4.9).
- Faites la mise à jour sur une copie de préproduction si le site est critique.
- Après la mise à jour : videz le cache, testez la connexion admin avec MFA, les formulaires, la création de compte et l’affichage des médias.
- Vérifiez la liste des utilisateurs : un compte inconnu créé récemment est un signal d’alerte. En cas de doute, suivez les 8 étapes pour nettoyer un site Joomla piraté.
Si vous préférez déléguer, je m’occupe de la maintenance Joomla au mois, mises à jour de sécurité comprises.
Questions fréquentes
Mon site en Joomla 5 est-il encore sûr après le 13 octobre 2026 ?
Oui, pour les failles de sécurité : Joomla 5.4 reçoit des correctifs de sécurité jusqu’au 12 octobre 2027. En revanche, les bugs ne seront plus corrigés. C’est le moment de préparer Joomla 6, pas de paniquer.
Faut-il attendre Joomla 6.2 plutôt que d’installer la 6.1.4 ?
Non. Installez la 6.1.4 maintenant pour fermer les failles, puis passez en 6.2 quand elle sera sortie et que vos extensions seront compatibles. Les deux ne s’opposent pas.
Mon site est en Joomla 3 : ces failles me concernent-elles ?
Joomla 3 n’est plus maintenu depuis août 2023. Certaines de ces failles existent peut-être aussi dans Joomla 3, mais personne ne les corrigera. La seule vraie solution est la migration.
