CVE-2026-48907 – Joomla JCE Nicht authentifizierte Remote-Codeausführung (RCE)

Schweregrad: Kritisch (CVSS 9.8 / CVSS v4 10.0)
CVE: CVE-2026-48907
CWE: CWE-284 – Unzureichende Zugriffskontrolle
Betroffene Software: Joomla Content Editor (JCE)-Erweiterung für Joomla
Status: Öffentlich offengelegt und aktiv ausgenutzt.

CVE-2026-48907 ist eine kritische nicht authentifizierte Remote-Codeausführung (RCE)-Schwachstelle, die die Joomla Content Editor (JCE)-Erweiterung betrifft.

Die Schwachstelle besteht darin, dass die JCE-Erweiterung Autorisierungsprüfungen in der Profilverwaltungsfunktion nicht ordnungsgemäß durchsetzt. Ein Angreifer kann ohne Authentifizierung bösartige Editor-Profile erstellen, was letztendlich das Hochladen und die Ausführung beliebiger PHP-Dateien auf dem Zielserver ermöglicht.

Eine erfolgreiche Ausnutzung ermöglicht die vollständige Kompromittierung der Joomla-Installation.

Details zur Schwachstelle

Betroffene Versionen:

JCE 1.0.0
through
JCE 2.9.99.4

Behoben ab:

2.9.99.5

In späteren Versionen wurden zusätzliche Härtungsmaßnahmen eingeführt.

Grundursache

Die Schwachstelle besteht darin, dass die JCE-Erweiterung Autorisierungsprüfungen in der Profilverwaltungsfunktion nicht ordnungsgemäß durchsetzt.

Erwarteter Ablauf

Administrator
      │
      ▼
Create Editor Profile
      │
      ▼
Upload Content

Verwundbarer Ablauf

Unauthenticated User
        │
        ▼
Create Editor Profile
        │
        ▼
Gain Upload Permissions
        │
        ▼
Upload PHP Payload
        │
        ▼
Execute PHP
        │
        ▼
Remote Code Execution

Die fehlende Autorisierungsvalidierung ermöglicht es anonymen Benutzern, sicherheitsrelevante Konfigurationen zu beeinflussen.

Auswirkungen

Eine erfolgreiche Ausnutzung kann einem Angreifer Folgendes ermöglichen:

• Beliebigen PHP-Code ausführen
• Vollständige Kontrolle über die Joomla-Website erlangen
• Webshells installieren
• Sensible Informationen stehlen
• Website-Inhalte verändern
• Schadsoftware einsetzen
• Ransomware installieren
• In die interne Infrastruktur pivotieren

Da die Ausnutzung keine Authentifizierung erfordert, gilt diese Schwachstelle als äußerst gefährlich.

Angriffsablauf

Internet
    │
    ▼
Unauthenticated Request
    │
    ▼
Create Malicious JCE Profile
    │
    ▼
Profile Allows PHP Upload
    │
    ▼
Upload PHP File
    │
    ▼
Request Uploaded File
    │
    ▼
PHP Executes
    │
    ▼
Remote Code Execution

Interpretation

• Über das Netzwerk ausnutzbar
• Keine Authentifizierung erforderlich
• Niedrige Angriffskomplexität
• Keine Benutzerinteraktion
• Vollständige Auswirkung auf die Vertraulichkeit
• Vollständige Auswirkung auf die Integrität
• Vollständige Auswirkung auf die Verfügbarkeit

Indikatoren für eine Kompromittierung (IOCs)

Administratoren sollten nach Folgendem suchen:

• Unerwartete JCE-Editor-Profile
• Neu hochgeladene .php-, .phtml- oder .phar-Dateien
• Verdächtige Anfragen, die auf com_jce abzielen
• Unbekannte Administrator-Konten
• Unerwartete ausgehende Verbindungen
• Verdächtige geplante Aufgaben oder Persistenzmechanismen

Erkennungsmöglichkeiten

Mögliche Erkennungsmethoden umfassen:

• Dateiintegritätsüberwachung (FIM)
• Analyse der Webserver-Protokolle
• Erkennung von PHP-Ausführung aus Upload-Verzeichnissen
• Überwachung von Änderungen an JCE-Profilen
• SIEM-Warnungen bei ungewöhnlichen POST-Anfragen an JCE

Gegenmaßnahmen

Empfohlene Maßnahmen:

• JCE auf 2.9.99.5 oder neuer aktualisieren
• Nicht autorisierte Editor-Profile entfernen
• Upload-Verzeichnisse prüfen
• PHP-Ausführung in Upload-Verzeichnissen deaktivieren
• Zugangsdaten rotieren, wenn eine Kompromittierung vermutet wird
• Protokolle auf Ausnutzungsversuche prüfen
• Bei Bedarf von bekannten guten Backups wiederherstellen

Betroffene Versionen

Zeitleiste

Referenzen

• NIST National Vulnerability Database (NVD)
• CVE Program (MITRE)
• Joomla Security Advisory
• CISA Known Exploited Vulnerabilities (KEV)
• SentinelOne Technical Analysis

Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs-, Verteidigungs- und Forschungszwecken.