Un aviso defensivo para una vulnerabilidad con explotación confirmada en entornos reales (incluida en el catálogo KEV de CISA). Qué ocurre, qué está afectado y cómo responder, sin guía de ataque ni prueba de concepto. Para la defensa duradera a nivel de diseño, consulte vulnerabilidades de carga de archivos y cómo defenderse.
- CVE
- CVE-2026-48908
- Gravedad
- Crítica (CVSS 10.0 / v4.0 según la autoridad de numeración de CVE; NVD la califica con CVSS v3.1 9.8) — explotada activamente (CISA KEV)
- Tipo
- Carga de archivos arbitrarios sin autenticación → RCE (CWE-434)
- Impacto
- Ejecución remota de código (RCE) sin autenticación
- Afectado
- SP Page Builder para Joomla (JoomShaper) — 6.6.1 y anteriores
- Solución principal
- Actualizar a 6.6.2 o posterior
Se alcanza sin autenticación
Carga de archivos arbitrarios
Queda en un lugar donde puede ejecutarse
Ejecución remota de código
Solución: actualizar a 6.6.2 o posterior
Por qué no aplicar el parche es peligroso
Como el RCE es alcanzable sin autenticación, es un objetivo prioritario para el escaneo masivo automatizado (por eso figura en el catálogo KEV). Censys midió bastante más de cien mil propiedades accesibles desde internet que ejecutaban SP Page Builder, y las versiones afectadas fueron atacadas a gran escala. «Somos demasiado pequeños para ser objetivo» no es un argumento válido.
Qué está afectado
| Elemento | Detalle |
|---|---|
| Extensión | SP Page Builder para Joomla (JoomShaper) |
| Versiones afectadas | 6.6.1 y anteriores |
| Versión corregida | 6.6.2 y posteriores |
| Requisito previo | No se requiere autenticación |
| Impacto alcanzable | Ejecución remota de código (RCE); robo de datos |
Nota sobre la integridad del parche (ambas posturas, sin resolver)
Según se informa, la 6.6.2 cierra la vía explotada activamente (la carga de iconos personalizados). Por otra parte, un informe de la comunidad afirmó que una vía secundaria (parte del manejo en el lado de administración) seguía sin comprobación de autenticación en la 6.6.2; en respuesta, el proveedor (JoomShaper) habría rechazado esa afirmación, diciendo que el controlador del lado del editor exige autenticación primero, aunque indicó que habrá una corrección en una actualización posterior. Como este punto no está resuelto, actualice a 6.6.2, mantenga las defensas en capas y esté atento a la siguiente versión (6.6.x).
Cómo responder
Actualice a 6.6.2 o posterior (máxima prioridad)
Busque indicios de compromiso (suponga que pudo haber sido alcanzado antes de actualizar)
Defensa temporal hasta poder actualizar (defensa en profundidad)
Inventaríe extensiones y supervise CVE de forma automatizada
La postura de este sitio: prevenir todo el patrón desde el diseño, no solo este CVE
Este incidente es una instancia de un patrón habitual: «carga sin autenticación → RCE» (una extensión hermana de Joomla, CVE-2026-56290, fue explotada de la misma forma en el mismo periodo). La actualización es obligatoria, pero lo que aporta beneficios a largo plazo es eliminar el patrón desde el diseño: autenticar el punto de carga, aplicar listas de permitidos y análisis del contenido en el servidor, y almacenar fuera de la raíz web o desactivar la ejecución. Consulte vulnerabilidades de carga de archivos y cómo defenderse.
Lectura recomendada
- Defensa (duradera): vulnerabilidades de carga de archivos: eliminar desde el diseño los web shells / RCE
- Mismo patrón, alerta: CVE-2026-48939 (iCagenda / carga sin autenticación a RCE en Joomla)
- Glosario: qué es RCE (ejecución remota de código) / qué es un CVE
- Todas las alertas: alertas de vulnerabilidades