V JCE (Joomla Content Editor), jednom z nejstarších a nejpopulárnějších rozšíření v ekosystému Joomla, byla odstraněna kritická zranitelnost (CVE-2026-48907), která umožňuje importovat vlastní profil bez autentizace. Útočník může tuto zranitelnost využít k umístění profilu, který deaktivuje kontrolu MIME typů a umožní nahrávání PHP skriptů na server. Bylo zaznamenáno využití zranitelnosti útočníky k instalaci webshellu, který poskytuje vzdálený přístup k systému.
Zranitelnost byla odstraněna ve verzi JCE 2.9.99.5, po níž bylo zveřejněno aktualizované vydání 2.9.99.6 se zesílenou ochranou. Tato zranitelnost se týká všech verzí JCE (od Joomla 3 po Joomla 6). Po instalaci aktualizace je nutné se ujistit, že systém nebyl kompromitován a že v něm nezůstávají zadané útočníky backdoory.
Kontrolu na přítomnost podvodného profilu, který obvykle má bezvýznamné automaticky generované jméno, lze provést v administrátorském rozhraní v sekci „Komponenty“ — „Editor JCE“ — „Profily editoru“. Také je nutné se ujistit, že v parametru „Povolené přípony souborů“ není povoleno nahrávání PHP souborů, a zkontrolovat logy na přítomnost požadavků na URL pro import profilů (index.php?option=com_jce&task=profiles.import). O kompromitaci může rovněž svědčit výskyt cizích .htaccess souborů a souborů s názvy typickými pro CMS WordPress, nikoli Joomla, jako jsou wp-config.php a wp-cron.php.
Zdroj: opennet.ru
