CVE-2026-48907 – Joomla JCE 未认证远程代码执行 (RCE)

严重性: 严重 (CVSS 9.8 / CVSS v4 10.0)
CVE: CVE-2026-48907
CWE: CWE-284 – 不适当的访问控制
受影响软件: Joomla 内容编辑器 (JCE) 扩展 for Joomla
状态: 已公开披露并在野外积极利用。

CVE-2026-48907 是一个影响 Joomla 内容编辑器 (JCE) 扩展的 严重未认证远程代码执行 (RCE) 漏洞。

该漏洞源于 JCE 配置文件管理功能中的不适当的访问控制。攻击者可以在无需认证的情况下创建恶意编辑器配置文件，最终在目标服务器上实现任意 PHP 文件上传和执行。

成功利用可完全控制 Joomla 安装。

漏洞详情

受影响版本：

JCE 1.0.0
through
JCE 2.9.99.4

补丁起始于：

2.9.99.5

后续版本引入了额外的加固措施。

根本原因

该漏洞存在是因为 JCE 扩展未能正确对配置文件管理功能进行授权检查。

预期流程

管理员
      │
      ▼
创建编辑器配置文件
      │
      ▼
上传内容

漏洞流程

未认证用户
        │
        ▼
创建编辑器配置文件
        │
        ▼
获得上传权限
        │
        ▼
上传 PHP 载荷
        │
        ▼
执行 PHP
        │
        ▼
远程代码执行

缺失的授权验证实际上允许匿名用户影响安全敏感配置。

影响

成功利用可能允许攻击者：

• 执行任意 PHP 代码
• 完全控制 Joomla 网站
• 安装 WebShell
• 窃取敏感信息
• 修改网站内容
• 部署恶意软件
• 安装勒索软件
• 横向移动到内部基础设施

由于利用无需认证，此漏洞被认为极其危险。

攻击流程

互联网
    │
    ▼
未认证请求
    │
    ▼
创建恶意 JCE 配置文件
    │
    ▼
配置文件允许 PHP 上传
    │
    ▼
上传 PHP 文件
    │
    ▼
请求已上传文件
    │
    ▼
PHP 执行
    │
    ▼
远程代码执行

解读

• 可通过网络利用
• 无需认证
• 攻击复杂度低
• 无需用户交互
• 完全机密性影响
• 完全完整性影响
• 完全可用性影响

入侵指标 (IOCs)

管理员应调查以下内容：

• 意外的 JCE 编辑器配置文件
• 新上传的 .php、.phtml 或 .phar 文件
• 针对 com_jce 的可疑请求
• 未知管理员账户
• 意外的出站连接
• 可疑的计划任务或持久化机制

检测思路

可能的检测方法包括：

• 文件完整性监控 (FIM)
• Web 服务器日志分析
• 检测上传目录中的 PHP 执行
• 监控 JCE 配置文件修改
• 对发送至 JCE 的异常 POST 请求的 SIEM 告警

缓解措施

建议采取以下措施：

• 将 JCE 更新至 2.9.99.5 或更高版本
• 删除未授权的编辑器配置文件
• 审计上传目录
• 禁用上传目录中的 PHP 执行
• 如果怀疑被入侵，轮换凭据
• 审查日志以查找利用尝试
• 必要时从已知良好的备份恢复

受影响版本

时间线

参考

• NIST 国家漏洞数据库 (NVD)
• CVE 计划 (MITRE)
• Joomla 安全公告
• CISA 已知被利用漏洞 (KEV)
• SentinelOne 技术分析

免责声明

本仓库仅用于教育、防御和研究目的。