Joomla JCE CVE-2026-48907 — التحقق من PoC، وآثار الويبشيل، وكشف SOC

تقرير تحقق دفاعي وملاحظات كشف موجّهة لفرق SOC بشأن CVE-2026-48907 الذي يؤثر على إصدارات محرر محتوى جوملا (JCE) حتى 2.9.99.4.

الغرض من المستودع

يوثّق هذا المستودع تحققًا معمليًا خاضعًا للرقابة من CVE-2026-48907 في Joomla JCE، ويركّز على هندسة الكشف العملية لفرق SOC.

الهدف ليس تقديم إرشادات للاستغلال. الهدف هو إظهار مصادر الرصد التي كانت مفيدة أثناء التحقق، والآثار التي أُنشئت، وكيف يمكن للمدافعين كشف هذا النشاط والاستجابة له.

التقارير

• تقرير PDF بالإنجليزية
• تقرير PDF بالبولندية
• تقرير DOCX بالإنجليزية
• تقرير DOCX بالبولندية

الملخص

المراجع العامة

• مستودع الـ PoC العام: JoomlaSniper
• سجل CVE: CVE-2026-48907
• NVD: CVE-2026-48907
• فهرس CISA KEV: فهرس الثغرات المستغلة المعروفة

بيئة المختبر

لقطات الأدلة

موقع جوملا المختبري

إصدار JCE الضعيف المثبّت

جوملا يعرض توفر تحديث لـ JCE

نتيجة التحقق من الـ PoC في المختبر

شل تفاعلية وتنفيذ أوامر بصلاحيات www-data

آثار ملفات في دليل tmp لجوملا

الملاحظة الدفاعية الرئيسية

من النتائج التشغيلية الرئيسية أن سجلات تطبيق جوملا لم تكن كافية.

خلال الاختبار المختبري، سجّلت سجلات جوملا سياقًا على مستوى التطبيق مثل حدث joomlafailure، لكنها لم تُظهر سلسلة الاستغلال الكاملة. كانت السلسلة المفيدة واضحة بشكل أساسي في:

1. سجل access.log لخادم Apache
2. سجل error.log لـ Apache/PHP
3. سجلات execve من auditd
4. آثار على نظام الملفات في joomla_html/tmp

بالنسبة لمراقبة SOC، ينبغي التعامل مع سجلات جوملا بوصفها مصدر رصد داعمًا، وليس بوصفها مصدر الكشف الأساسي لهذه الثغرة.

سلسلة الهجوم المرصودة

سلسلة عالية المستوى رُصدت أثناء الاختبار الخاضع للرقابة:

JCE version discovery
    ↓
POST to Joomla JCE component
    ↓
PHP webshell written to Joomla /tmp
    ↓
HTTP request to /tmp/jce*.xml.php
    ↓
Command execution through webshell
    ↓
auditd confirms /usr/bin/dash and commands executed as www-data

تسلسل طلبات HTTP المرصود

كانت أوضح الأدلة موجودة في سجل access.log الخاص بـ Apache:

GET  /plugins/editors/jce/jce.xml
GET  /
POST /index.php?option=com_jce
GET  /tmp/jceolxtshs3.xml.php
GET  /plugins/editors/jce/jce.xml
POST /index.php?option=com_jce
GET  /tmp/jce624jdcfx.xml.php
GET  /tmp/jce624jdcfx.xml.php?c=id%20%26%26%20hostname%20%26%26%20pwd
GET  /tmp/jce624jdcfx.xml.php?c=whoami
GET  /tmp/jce624jdcfx.xml.php?c=hostname
GET  /tmp/jce624jdcfx.xml.php?c=id
GET  /tmp/jce624jdcfx.xml.php?c=pwd

مؤشرات سجل أخطاء Apache/PHP

احتوى سجل أخطاء Apache/PHP على آثار قيّمة متعلقة بالمحلل (parser):

simplexml_load_string()
administrator/components/com_jce/helpers/profiles.php
RXST
RXEND

كانت العلامتان RXST وRXEND مؤشرين مفيدين بشكل خاص لعائلة الـ PoC هذه تحديدًا لأنهما ظهرتا في مسار معالجة الحمولة (payload).

محدودية سجلات جوملا

أكّدت سجلات جوملا أن تسجيل التطبيق كان نشطًا، لكنها لم تعِد بناء عملية الاستغلال:

#Software: Joomla! 5.4.6 Stable [ Kutegemea ] 26-May-2026 16:00 GMT
#Fields: datetime priority clientip category message
2026-06-18T20:37:57+00:00 INFO 172.20.10.2 joomlafailure Username and password do not match or you do not have an account yet.

هذا يعني أن جمع سجلات جوملا فقط قد يفوت أهم الأدلة على استغلال CVE-2026-48907.

الآثار على نظام الملفات

أنشأ الاختبار ملفات ويبشيل PHP في tmp الخاص بجوملا:

/var/www/html/tmp/jce624jdcfx.xml.php
/var/www/html/tmp/jceolxtshs3.xml.php

المسارات على جانب المضيف في المختبر:

/home/user/joomla-jce-lab/joomla_html/tmp/jce624jdcfx.xml.php
/home/user/joomla-jce-lab/joomla_html/tmp/jceolxtshs3.xml.php

قيم تجزئة SHA256 المرصودة:

b6fa303daef8aa8cb39566c73d2cb4a458efb2b1fba48052dd039d45c3beb0aa  jce624jdcfx.xml.php
f8bcc802ab56b845c968ed6727228f200f8f4bcd332b8ce82c6980d93ac228fd  jceolxtshs3.xml.php

ينبغي التعامل مع الكشف المعتمد على التجزئة بوصفه منخفض المتانة لأن أسماء الملفات والحمولات قد تختلف. الارتباط عبر المسار والامتداد والملكية والسلوك أكثر فائدة.

أدلة auditd

أكّد auditd أن مستخدم خادم الويب نفّذ أوامر من دليل tmp الخاص بجوملا:

CWD=/var/www/html/tmp uid=www-data comm=sh exe=/usr/bin/dash
CWD=/var/www/html/tmp uid=www-data comm=id exe=/usr/bin/id
CWD=/var/www/html/tmp uid=www-data comm=hostname exe=/usr/bin/hostname
CWD=/var/www/html/tmp uid=www-data comm=whoami exe=/usr/bin/whoami

هذا أقوى تأكيد على أن النشاط لم يكن مجرد فحص، بل تنفيذًا فعليًا لأكواد عن بُعد.

منطق الكشف

أقوى كشف يعتمد على الارتباط بين الأحداث:

GET /plugins/editors/jce/jce.xml
    followed by
POST /index.php?option=com_jce
    followed by
GET /tmp/jce*.xml.php
    followed by
GET /tmp/jce*.xml.php?c=
    and/or
auditd: www-data executes /usr/bin/dash from /var/www/html/tmp

أولوية الكشف

المؤشرات وأنماط البحث (Hunting)

أنماط HTTP

/plugins/editors/jce/jce.xml
/index.php?option=com_jce
/tmp/jce[a-z0-9]{8}\.xml\.php
/tmp/.*\.(php|phtml|phar)(\?| )
cs-uri-query contains "c="

أنماط نظام الملفات

joomla_html/tmp/jce*.xml.php
/var/www/html/tmp/jce*.xml.php
RXST
RXEND
shell_exec
system
passthru
exec
$_GET['c']

أمثلة على أوامر الفرز (Triage)

استخدم هذه الأوامر فقط على أنظمة تملكها أو مخوّل بالتحقيق فيها.

grep -RniE "com_jce|profiles\.import|task=profiles|/tmp/.*\.php|RXST|RXEND" apache_logs joomla_html/administrator/logs 2>/dev/null

find ./joomla_html/tmp ./joomla_html/images ./joomla_html/media \
  -type f \( -iname "*.php" -o -iname "*.phtml" -o -iname "*.phar" -o -iname "*.xml.php" \) -ls

sudo ausearch -k wwwdata_exec -i | grep -E "uid=www-data|comm=sh|/usr/bin/dash|/var/www/html/tmp|whoami|hostname| id |pwd"

قواعد Sigma

تتوفر ملفات قواعد Sigma منفصلة في rules/sigma:

• joomla_jce_webshell_tmp_access.yml
• joomla_jce_component_exploit_attempt.yml
• web_user_shell_from_joomla_tmp_auditd.yml

الاستجابة الموصى بها

توصيات التخفيف

مثال على توجه تحصين Apache

يعتمد التكوين الدقيق على نموذج نشر Apache/PHP. الهدف هو منع تنفيذ PHP في الأدلة التي لا ينبغي أن تنفّذ سكربتات أبدًا.

<Directory "/var/www/html/tmp">
    php_admin_flag engine off
    Options -ExecCGI
    RemoveHandler .php .phtml .phar
    <FilesMatch "\.(php|phtml|phar)$">
        Require all denied
    </FilesMatch>
</Directory>

<Directory "/var/www/html/images">
    php_admin_flag engine off
    Options -ExecCGI
    RemoveHandler .php .phtml .phar
    <FilesMatch "\.(php|phtml|phar)$">
        Require all denied
    </FilesMatch>
</Directory>

مطابقة MITRE ATT&CK

تقييم المخاطر

أكّد المختبر إمكانية الاستغلال العملي ضد JCE 2.9.99.4. لم تكن المصادقة إلى جوملا مطلوبة في التدفق المرصود، وقام الـ PoC العام بأتمتة اكتشاف الإصدار وإنشاء الويبشيل.

بالنسبة للبيئات الحقيقية، تكون المخاطر عالية إلى حرجة عندما تكون جوملا مواجهة للإنترنت أو قابلة للوصول من شبكات داخلية أقل موثوقية. قد يترك الهجوم الناجح ويبشيلًا دائمًا، لذا فإن التحديث دون فحص الآثار ليس كافيًا بعد التعرض المشتبه به.

إخلاء المسؤولية

هذا المستودع مخصّص للبحث الدفاعي، وهندسة كشف SOC، وإدارة الثغرات. لا يحتوي على أكواد استغلال. يجب تنفيذ أي اختبار فقط على أنظمة تملكها أو مخوّل صراحةً بتقييمها.