I JCE (Joomla Content Editor), en af de ældste og mest populære udvidelser i Joomla-økosystemet, er der rettet en kritisk sårbarhed (CVE-2026-48907), som gør det muligt at importere sin profil uden autentificering. En angriber kan udnytte sårbarheden til at placere en profil, der deaktiverer MIME-typekontrol og muliggør uploading af PHP-scripts til serveren. Der er registreret, at sårbarheden er blevet udnyttet af kriminelle til at installere webshells, der giver fjernadgang til systemet.
Sårbarheden er blevet rettet i JCE 2.9.99.5, efterfulgt af opdateringen 2.9.99.6, som styrker sikkerheden. Sårbarheden påvirker alle versioner af JCE (fra Joomla 3 til Joomla 6). Efter installation af opdateringen bør man sikre sig, at systemet ikke er blevet kompromitteret, og at der ikke er efterladt en backdoor installeret af angriberne.
Man kan kontrollere for en forfalsket profil, som normalt har et meningsløst automatisk genereret navn, i administratorgrænsefladen under sektionen "Komponenter" — "JCE Editor" — "Editor Profiler". Det er også vigtigt at sikre, at der ikke er tilladelse til upload af PHP-filer under indstillingen "Tilladte filtyper" og at kontrollere logfilerne for anmodninger til profiler importurl (index.php?option=com_jce&task=profiles.import). Kompromittering kan også indikere sig ved fremkomsten af ukendte .htaccess-filer på siden og filer med navne, der er typiske for CMS WordPress, snarere end Joomla, såsom wp-config.php og wp-cron.php.
Kilde: opennet.ru
