Une faille de sécurité dans jDownloads, extension qui met des fichiers en téléchargement sur un site Joomla, atteint la note de 10,0 sur 10 selon la fiche NVD. Si votre site l’utilise, le passage à la version 4.1.8 ou plus récente est la mesure prioritaire, sans dispenser des autres vérifications.
C’est quoi ?
L’extension jDownloads vérifiait mal les fichiers déposés depuis la partie publique du site, ce qui pouvait permettre de placer sur le serveur un fichier qui s’exécute au lieu de simplement s’y ranger.
La vulnérabilité porte l’identifiant CVE-2026-117551 et touche l’extension jDownloads pour Joomla, éditée par jdownloads.com, dans toutes les versions antérieures à 4.1.8. Selon la fiche NVD, elle ouvre la porte à l’exécution de code à distance : des instructions choisies par quelqu’un d’autre tournent sur le serveur, l’ordinateur de l’hébergeur qui fait fonctionner votre site. Pensez à la boîte aux lettres d’un commerce : les papiers qu’on y glisse restent des papiers, qu’on classe sans leur obéir. C’est autre chose si une feuille déposée est lue comme une consigne et appliquée : un fichier reçu devrait rester un document rangé, pas une suite d’instructions que le site exécute. La fiche précise une condition : un compte doit déjà disposer d’un droit de dépôt de fichiers sur le site.
Pourquoi c’est grave ?
La note est la plus élevée possible, 10,0 sur 10 selon la fiche NVD, et aucune exploitation n’est signalée à ce jour dans les fiches consultées.
Le CVSS est l’échelle commune qui classe la gravité des vulnérabilités de 0 à 10, et ce score, en version CVSS 4.0, a été attribué par l’organisme déclarant (CNA), selon la fiche NVD. En clair : si le serveur exécute ce qu’on lui a glissé, le contrôle du site peut passer à quelqu’un d’autre. Les conséquences se comptent alors en affaires : site indisponible, formulaires détournés, renseignements de clients exposés, pages modifiées pour tromper vos visiteurs. Aucune attaque n’est signalée pour l’instant : c’est le bon moment pour agir, comme on dégage l’entrée quand une tempête est annoncée, sans savoir si elle frappera.
Ça touche qui ?
Tout site Joomla équipé de l’extension jDownloads en version antérieure à 4.1.8, peu importe le secteur d’activité.
Joomla est un outil de gestion de site web, et jDownloads y ajoute la diffusion de documents : catalogues, formulaires, fiches techniques. Ce montage peut se rencontrer dans n’importe quel secteur, du manufacturier au cabinet professionnel, de la municipalité au commerce. Les fiches consultées ne décrivent ni les secteurs concernés, ni l’âge des sites, ni le nombre d’installations. L’éditeur jdownloads.com est responsable de l’extension et de ses correctifs.
Comment vérifier dans mon entreprise ?
Une consultation du gestionnaire d’extensions de votre site Joomla dit si vous êtes concerné.
- Demander à votre prestataire ou à votre webmestre si jDownloads est installé, et dans quelle version.
- Passer en revue, côté direction, les comptes autorisés à déposer des fichiers et retirer ceux qui ne servent plus.
- Demander à l’hébergeur une confirmation écrite du correctif et une vérification qu’aucun fichier inattendu ne se trouve sur le serveur.
Mise en situation
Exemple fictif : une clinique dentaire dont le site n’a pas été touché depuis son installation.
Le site Joomla de la clinique propose en téléchargement les formulaires d’admission et les consignes postopératoires. L’extension n’a jamais été mise à niveau, et un ancien compte de collaborateur garde le droit de téléverser des documents. Un matin, l’hébergeur suspend le site parce que des fichiers étrangers y sont apparus. Formulaires inaccessibles aux patients, appels qui s’accumulent, et une question délicate pour le prestataire : des renseignements de patients ont-ils pu être consultés ?
Quoi faire maintenant
- Traiter en priorité le passage de jDownloads à la version 4.1.8 ou plus récente, après une sauvegarde complète du site.
- Restreindre les droits de téléversement aux seules personnes qui en ont besoin aujourd’hui.
- Faire vérifier par l’hébergeur qu’aucun fichier inattendu n’a été déposé avant l’application du correctif.
- Prévoir avec votre prestataire la conduite à tenir en cas d’incident de confidentialité : la Loi 25 impose un registre des incidents et, selon le risque, une notification à la Commission d’accès à l’information.
FAQ
Mon site est modeste, suis-je vraiment concerné ?
Oui, si l’extension est installée dans une version antérieure à 4.1.8. Les cibles ne sont pas toutes choisies une par une : des outils automatisés peuvent repérer les sites portant une version vulnérable, sans égard à la taille. Se croire trop petit pour intéresser quelqu’un reste trompeur quand le site héberge des formulaires remplis par vos clients.
La mise à jour risque-t-elle de briser mon site ?
Toute intervention sur une extension mérite une précaution simple : sauvegarde complète du site et de sa base de données avant, vérification des pages de téléchargement après, ou test préalable sur une copie. Nous ne promettons aucun délai : l’ampleur dépend de votre installation et des extensions en place.
Comment savoir si quelqu’un en a déjà profité ?
Les fiches consultées ne signalent aucune exploitation à ce jour, mais cette absence ne prouve rien pour votre site en particulier. Demandez à votre hébergeur d’examiner les journaux de connexion, le registre des visites et des envois que le serveur tient automatiquement, et la présence de fichiers inhabituels. Il n’existe pas de protection absolue : méfiez-vous de tout discours qui promet un risque zéro.
Ce que la faille de sécurité dans jDownloads change pour une PME d’ici
Pour une organisation québécoise, un site web n’est pas décoratif : il reçoit des demandes, des documents et des renseignements personnels encadrés par la Loi 25. Maintenir ses extensions à jour et limiter les droits d’accès figurent parmi les contrôles de base recommandés par le Centre canadien pour la cybersécurité. Ces gestes ne suppriment pas le risque, ils réduisent fortement l’exposition.
Sources
- Fiche CVE-2026-117551 de la National Vulnerability Database · NIST, 12 novembre 2026
- Avis de sécurité (jdownloads.com) · jdownloads.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-117551
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
