CVE-2026-48907 – تنفيذ التعليمات البرمجية عن بُعد (RCE) بدون مصادقة في Joomla JCE

الخطورة: حرجة (CVSS 9.8 / CVSS v4 10.0)
CVE: CVE-2026-48907
CWE: CWE-284 – التحكم غير السليم في الوصول
البرنامج المتأثر: ملحق Joomla Content Editor (JCE) لجوملا
الحالة: تم الإفصاح عنها علنًا ويتم استغلالها بنشاط في البرية.

CVE-2026-48907 هي ثغرة حرجة من نوع تنفيذ التعليمات البرمجية عن بُعد (RCE) بدون مصادقة تؤثر على ملحق Joomla Content Editor (JCE).

تنجم الثغرة عن التحكم غير السليم في الوصول داخل وظيفة إدارة الملفات الشخصية في JCE. يمكن للمهاجم إنشاء ملفات تعريف محرر خبيثة بدون مصادقة، مما يتيح في النهاية رفع ملفات PHP عشوائية وتنفيذها على الخادم المستهدف.

يسمح الاستغلال الناجح بالاختراق الكامل لتثبيت جوملا.

تفاصيل الثغرة

الإصدارات المتأثرة:

JCE 1.0.0
through
JCE 2.9.99.4

تم التصحيح بدءًا من:

2.9.99.5

تم إدخال تحصينات إضافية في الإصدارات اللاحقة.

السبب الجذري

توجد الثغرة لأن ملحق JCE يفشل في فرض فحوصات التفويض بشكل صحيح على وظيفة إدارة الملفات الشخصية.

التدفق المتوقع

Administrator
      │
      ▼
Create Editor Profile
      │
      ▼
Upload Content

التدفق القابل للاستغلال

Unauthenticated User
        │
        ▼
Create Editor Profile
        │
        ▼
Gain Upload Permissions
        │
        ▼
Upload PHP Payload
        │
        ▼
Execute PHP
        │
        ▼
Remote Code Execution

التحقق المفقود من التفويض يسمح فعليًا للمستخدمين المجهولين بالتأثير على الإعدادات الحساسة أمنيًا.

التأثير

قد يسمح الاستغلال الناجح للمهاجم بـ:

• تنفيذ كود PHP عشوائي
• الحصول على سيطرة كاملة على موقع جوملا
• تثبيت قذائف الويب (webshells)
• سرقة المعلومات الحساسة
• تعديل محتوى موقع الويب
• نشر برمجيات خبيثة
• تثبيت برمجيات الفدية
• الانتقال إلى البنية التحتية الداخلية

نظرًا لأن الاستغلال لا يتطلب مصادقة، تُعتبر هذه الثغرة شديدة الخطورة.

تسلسل الهجوم

Internet
    │
    ▼
Unauthenticated Request
    │
    ▼
Create Malicious JCE Profile
    │
    ▼
Profile Allows PHP Upload
    │
    ▼
Upload PHP File
    │
    ▼
Request Uploaded File
    │
    ▼
PHP Executes
    │
    ▼
Remote Code Execution

التفسير

• قابل للاستغلال عبر الشبكة
• لا يتطلب مصادقة
• تعقيد هجوم منخفض
• لا يتطلب تفاعل المستخدم
• تأثير كامل على السرية
• تأثير كامل على السلامة
• تأثير كامل على التوفر

مؤشرات الاختراق (IOCs)

يجب على المسؤولين التحقق من:

• ملفات تعريف محرر JCE غير متوقعة
• ملفات .php أو .phtml أو .phar مرفوعة حديثًا
• طلبات مشبوهة تستهدف com_jce
• حسابات مسؤول غير معروفة
• اتصالات صادرة غير متوقعة
• مهام مجدولة مشبوهة أو آليات استمرارية

أفكار للكشف

تشمل طرق الكشف المحتملة:

• مراقبة سلامة الملفات (FIM)
• تحليل سجلات خادم الويب
• كشف تنفيذ PHP من أدلة الرفع
• مراقبة تعديلات ملفات تعريف JCE
• تنبيهات SIEM للطلبات POST غير المعتادة إلى JCE

التخفيف

الإجراءات الموصى بها:

• تحديث JCE إلى 2.9.99.5 أو أحدث
• إزالة ملفات تعريف المحرر غير المصرح بها
• تدقيق أدلة الرفع
• تعطيل تنفيذ PHP داخل أدلة الرفع
• تدوير بيانات الاعتماد إذا اشتبه في الاختراق
• مراجعة السجلات بحثًا عن محاولات الاستغلال
• الاستعادة من نسخ احتياطية سليمة معروفة إذا لزم الأمر

الإصدارات المتأثرة

الجدول الزمني

المراجع

• قاعدة بيانات الثغرات الوطنية NIST (NVD)
• برنامج CVE (MITRE)
• النشرة الأمنية لجوملا
• ثغرات CISA المعروفة باستغلالها (KEV)
• التحليل الفني من SentinelOne

إخلاء المسؤولية

هذا المستودع مخصص لأغراض تعليمية ودفاعية وبحثية فقط.