ב-JCE (Joomla עורך תוכן), אחת ההרחבות הוותיקות והפופולריות ביותר במערכת האקולוגית Joomlaפגיעות קריטית (CVE-2026-48907) המאפשרת ייבוא פרופילים ללא אימות תוקנה. תוקף יכול לנצל פגיעות זו כדי להתקין פרופיל שמשבית בדיקת סוג MIME ומאפשר העלאות סקריפטים של PHP לשרת. תוקפים נצפו מנצלים פגיעות זו כדי להתקין מעטפת אינטרנט, המספקת גישה מרחוק למערכת.
הפגיעות תוקנה ב-JCE 2.9.99.5, ולאחר מכן בעדכון 2.9.99.6 עם הקשחת אבטחה. הפגיעות משפיעה על כל הגרסאות של JCE (החל מ- Joomla 3 כדי Joomla 6) לאחר התקנת העדכון, עליך לוודא שהמערכת לא נפגעה ושלא נותרה דלת אחורית מותקנת על ידי התוקפים.
ניתן לבדוק אם קיים פרופיל מזויף, שבדרך כלל יש לו שם אוטומטי חסר משמעות, בממשק הניהול תחת "רכיבים" - "עורך JCE" - "פרופילי עורך". עליך גם לוודא שהעלאות קבצי PHP אינן מותרות בהגדרה "סיומות קבצים מותרות" ולבדוק את היומנים עבור בקשות לכתובת URL של ייבוא הפרופיל (index.php?option=com_jce&task=profiles.import). נוכחות של קבצי .htaccess של צד שלישי וקבצים עם שמות אופייניים למערכות ניהול תוכן באתר עשויה גם היא להצביע על פגיעה. WordPressולא Joomla, כגון wp-config.php ו-wp-cron.php.
מקור: OpenNet.ru
