В JCE (Joomla Content Editor), одном из старейших и популярнейших расширений в экосистеме Joomla, устранена критическая уязвимость (CVE-2026-48907), позволяющая импортировать свой профиль без аутентификации. Атакующий может использовать уязвимость для размещения профиля, отключающего проверку MIME-типов и реализующего загрузку PHP-скриптов на сервер. Зафиксировано использование уязвимости злоумышленниками для установки webshell, предоставляющего удалённый доступ к системе.
Уязвимость устранена в выпуске JCE 2.9.99.5, следом за которым опубликовано обновление 2.9.99.6 с усилением защиты. Уязвимость затрагивает все версии JCE (от Joomla 3至 Joomla 6). После установки обновления следует удостовериться, что система не была скомпрометирована и в ней не остаётся установленный атакующими бэкдор.
Проверить наличие подставного профиля, который как правило имеет бессмысленное автоматически сгенерированное имя, можно в интерфейсе адиминистратора в секции «Компоненты» — «Редактор JCE» — «Профили редактора». Также следует удостовериться в отсутствии разрешения загрузки PHP-файлов в параметре «Разрешённые расширения файлов» и проверить логи на предмет запросов к url импорта профилей (index.php?option=com_jce&task=profiles.import). О компрометации также может свидетельствовать появление на сайте сторонних .htaccess и файлов с именами, типичными для CMS WordPress而且不 Joomla, таких как wp-config.php и wp-cron.php.
来源： opennet.ru
