Åtgärd av en kritisk sårbarhet i JCE, ett tillägg för CMS Joomla.

I JCE (Joomla Content Editor), ett av de äldsta och mest populära tilläggen i Joomla-ekosystemet, har en kritisk sårbarhet (CVE-2026-48907) åtgärdats, vilket möjliggör import av sin egen profil utan autentisering. En angripare kan utnyttja denna sårbarhet för att ladda upp en profil som inaktiverar MIME-typkontroll och möjliggör uppladdning av PHP-skript på servern. Det har rapporterats att sårbarheten har utnyttjats av illvilliga aktörer för att installera en webshell som ger fjärråtkomst till systemet.

Sårbarheten har åtgärdats i versionen JCE 2.9.99.5, följd av en uppdatering 2.9.99.6 som förstärker säkerheten. Sårbarheten påverkar alla versioner av JCE (från Joomla 3 till Joomla 6). Efter installation av uppdateringen bör man säkerställa att systemet inte har blivit komprometterat och att inga bakdörrar installerats av angripare.

För att kontrollera om det finns en falsk profil, som vanligtvis har ett meningslöst automatiskt genererat namn, kan man gå till administratörsgränssnittet under sektionen "Komponenter" — "JCE Editor" — "Redigerarprofiler". Man bör även säkerställa att uppladdning av PHP-filer inte är tillåten i inställningen "Tillåtna filändelser" och kontrollera loggar för frågor till URL:en för profilimport (index.php?option=com_jce&task=profiles.import). Kompromettering kan även indikeras av förekomsten av externa .htaccess-filer och filer med namn som är typiska för CMS WordPress snarare än Joomla, såsom wp-config.php och wp-cron.php.

Källa: opennet.ru