CVE-2026-48907 – Joomla JCE Неаутентифицированное удаленное выполнение кода (RCE)

Серьезность: Критическая (CVSS 9.8 / CVSS v4 10.0)
CVE: CVE-2026-48907
CWE: CWE-284 – Неправильный контроль доступа
Затронутое ПО: Расширение Joomla Content Editor (JCE) для Joomla
Статус: Публично раскрыто и активно эксплуатируется в дикой природе.

CVE-2026-48907 — это критическая уязвимость неаутентифицированного удаленного выполнения кода (RCE), затрагивающая расширение Joomla Content Editor (JCE).

Уязвимость возникает из-за неправильного контроля доступа в функциональности управления профилями JCE. Злоумышленник может создавать вредоносные профили редактора без аутентификации, что в конечном итоге позволяет загружать и выполнять произвольные PHP-файлы на целевом сервере.

Успешная эксплуатация позволяет полностью скомпрометировать установку Joomla.

Детали уязвимости

Затронутые версии:

JCE 1.0.0
through
JCE 2.9.99.4

Исправлено начиная с:

2.9.99.5

Дополнительное усиление было введено в последующих выпусках.

Первопричина

Уязвимость существует из-за того, что расширение JCE не выполняет должным образом проверки авторизации в функциональности управления профилями.

Ожидаемый поток

Administrator
      │
      ▼
Create Editor Profile
      │
      ▼
Upload Content

Уязвимый поток

Unauthenticated User
        │
        ▼
Create Editor Profile
        │
        ▼
Gain Upload Permissions
        │
        ▼
Upload PHP Payload
        │
        ▼
Execute PHP
        │
        ▼
Remote Code Execution

Отсутствие проверки авторизации фактически позволяет анонимным пользователям влиять на конфигурацию, чувствительную к безопасности.

Воздействие

Успешная эксплуатация может позволить злоумышленнику:

• Выполнять произвольный PHP-код
• Получить полный контроль над сайтом Joomla
• Устанавливать веб-шеллы
• Похищать конфиденциальную информацию
• Изменять содержимое сайта
• Развертывать вредоносное ПО
• Устанавливать программы-вымогатели
• Перемещаться во внутреннюю инфраструктуру

Поскольку для эксплуатации не требуется аутентификация, эта уязвимость считается чрезвычайно опасной.

Поток атаки

Internet
    │
    ▼
Unauthenticated Request
    │
    ▼
Create Malicious JCE Profile
    │
    ▼
Profile Allows PHP Upload
    │
    ▼
Upload PHP File
    │
    ▼
Request Uploaded File
    │
    ▼
PHP Executes
    │
    ▼
Remote Code Execution

Интерпретация

• Эксплуатируема по сети
• Не требует аутентификации
• Низкая сложность атаки
• Не требует взаимодействия с пользователем
• Полное воздействие на конфиденциальность
• Полное воздействие на целостность
• Полное воздействие на доступность

Индикаторы компрометации (IOCs)

Администраторам следует проверить наличие:

• Неожиданных профилей редактора JCE
• Недавно загруженных файлов .php, .phtml или .phar
• Подозрительных запросов, нацеленных на com_jce
• Неизвестных учетных записей администратора
• Неожиданных исходящих соединений
• Подозрительных запланированных задач или механизмов сохранения доступа

Идеи обнаружения

Возможные методы обнаружения:

• Мониторинг целостности файлов (FIM)
• Анализ журналов веб-сервера
• Обнаружение выполнения PHP из каталогов загрузки
• Мониторинг изменений профилей JCE
• Оповещения SIEM о необычных POST-запросах к JCE

Смягчение

Рекомендуемые действия:

• Обновите JCE до 2.9.99.5 или новее
• Удалите неавторизованные профили редактора
• Проверьте каталоги загрузки
• Отключите выполнение PHP в каталогах загрузки
• Смените учетные данные, если есть подозрение на компрометацию
• Просмотрите журналы на предмет попыток эксплуатации
• Восстановитесь из заведомо исправных резервных копий, если необходимо

Затронутые версии

Хронология

Ссылки

• NIST National Vulnerability Database (NVD)
• CVE Program (MITRE)
• Консультация по безопасности Joomla
• CISA Known Exploited Vulnerabilities (KEV)
• Технический анализ SentinelOne

Отказ от ответственности

Этот репозиторий предназначен исключительно для образовательных, защитных и исследовательских целей.