Le 25 octobre dernier, le groupe de développement du CMS Joomla! a publié une mise à jour destinée à combler une faille de sécurité importante découverte quelques jours plus tôt.

Cette faille a été jugée critique car elle permet à un pirate de créer un compte utilisateur, avec des droits d'accès élevés (jusqu'à Administrateur du site !), même si la création de nouveaux comptes est désactivée dans les préférences de Joomla!.

Elle concerne les versions entre la 3.4.4 et la 3.6.3 et la version publiée avec le correctif est la 3.6.4.

Mesures à prendre

Si vous n'avez pas encore mis à jour votre site vers la dernière version 3.6.4, nous vous recommandons de le faire sans tarder. Les attaques exploitant cette faille ayant démarré dans les 24 heures de l'annonce, il est plus que probable que votre site a déjà été compromis s'il n'a pas été mis à jour. Vérifiez soigneusement la liste de vos utilisateurs (dans la partie administration du site, Utilisateurs > Utilisateurs) et désactivez (ou supprimez) ceux qui vous semblent suspects. Recherchez principalement ceux qui pourraient avoir "db_cfg" comme identifiant ou "" comme adresse email (informations révélées par Sucuri), ou toute autre adresse email suspecte (en .ru le plus souvent).

Si vous pensez avoir été piraté et avez besoin d'aide, n'hésitez pas à nous contacter pour nettoyer votre site.

Un visiteur du site nous a posé une question intéressante :

Dans la base de données de Joomla 2.5  ou 3, comment le lien avec les images d'un article est-il réalisé ? Le but est de récupérer les articles avec leurs images associées de Joomla 2.5 pour les incorporer dans Joomla 3. Je ne souhaite pas faire la mise à jour j2.5 -> j3.

Répondons d'abord à la première question.

Avec un site dynamique, il est plus facile de changer de mise en page, simplement en changeant de modèle, tandis qu’avec un site statique, il faut modifier toutes les pages. De même, l’ajout ou le retrait de nouvelles pages ou de sections entières du site est beaucoup plus aisé avec un CMS car la base de données peut contenir un nombre presque illimité d’éléments.

Le principal avantage d’un site dynamique est que son propriétaire peut donc facilement et très rapidement mettre à jour le contenu, sans avoir de connaissances informatiques autres que l'utilisation d'un traitement de texte et d'un navigateur Internet. Un site statique par contre nécessite l’utilisation de logiciels parfois coûteux, est fastidieux à mettre à jour et requiert la connaissance des langages utilisés par les pages Internet si on veut ajouter du contenu.

Il existe aussi une grande quantité d’ « extensions » qui sont d’autres logiciels ajoutant rapidement de nouvelles fonctions au site CMS existant. Parmi les extensions courantes, on trouve les galeries d’images, les gestionnaires de newsletter, les forums, les calendriers, …

Par conséquent, même pour un « petit » site, le CMS est la bonne solution car de nouvelles fonctions pourront être facilement ajoutées au fil du temps suivant les besoins… ou le budget.

Pour expliquer les choses simplement, nous dirons qu’un Content Management System, un système de gestion de contenu en français, est un logiciel ou un ensemble de logiciels qui gère le contenu d’un site Internet.

Tous les textes, les images, les formulaires, les vidéos, … sont stockés dans une base de données. Lorsqu’un visiteur accède à une page du site, le CMS assemble les différents éléments demandés et les affiche dans une mise en page contrôlée par des modèles (des templates en anglais). Comme les pages sont créées « à la demande » par le visiteur, on parle de site « dynamique », par opposition aux sites « statiques » dans lesquels les éléments font partie de pages dont le contenu n'est pas modifié d'un affichage à l'autre.

Avec un CMS, on peut donc avoir un contenu qui varie en fonction du visiteur. Par exemple, une même page peut montrer des contenus, une mise en page ou des fonctions différents suivant que le visiteur est un simple invité ou un membre déjà enregistré sur le site.