Un aviso defensivo sobre una vulnerabilidad con explotación confirmada en la naturaleza (incluida en el catálogo KEV de CISA). Qué ocurre, qué está afectado y cómo responder, sin guía de ataque ni prueba de concepto. Para la defensa duradera a nivel de diseño, consulte las vulnerabilidades de subida de archivos y cómo defenderse.
Condición de versión de Joomla frente al envío por parte de invitados
El desarrollador limita la RCE crítica a las combinaciones Joomla 6.0.0–6.1.1. El envío por parte de invitados en otras versiones de Joomla es un problema aparte. La versión 3.9.15 corrige ese problema de envío para Joomla 3; aquí no es una corrección de RCE. Una actualización no elimina un compromiso existente.
- CVE
- CVE-2026-48939
- Gravedad
- Crítica (CVSS 10.0 / v4.0; 9.8 / v3.1) — explotada activamente (CISA KEV)
- Tipo
- Subida arbitraria de archivos sin autenticación → RCE (CWE-434)
- Impacto
- Ejecución remota de código (RCE) sin autenticación
- Afectado
- iCagenda para Joomla — iCagenda 3.9.14–4.0.7 sobre Joomla 6.0.0–6.1.1
- Corrección principal
- Actualizar a 4.0.8 o posterior
Se accede sin autenticación
Subida arbitraria de archivos
Llega a un lugar donde puede ejecutarse
Ejecución remota de código
Corrección: actualizar a 4.0.8 o posterior
Por qué no aplicar el parche es peligroso
Como la RCE es alcanzable sin autenticación, es un objetivo prioritario para el escaneo masivo automatizado (por eso figura en el catálogo KEV). CISA ordenó a las agencias federales corregirla antes del 13-07-2026. Un calendario de eventos puede parecer una función menor, pero si el formulario público es accesible desde internet, su tamaño no importa.
Qué está afectado
| Elemento | Detalle |
|---|---|
| Extensión | iCagenda para Joomla (extensión de calendario de eventos) |
| Versiones afectadas | iCagenda 3.9.14–4.0.7 sobre Joomla 6.0.0–6.1.1 |
| Versión corregida | 4.0.8 y posteriores |
| Requisito previo | No se requiere autenticación (mediante el formulario público) |
| Impacto alcanzable | Ejecución remota de código (RCE); robo de datos |
| Estado | Explotada activamente (CISA KEV; existe una PoC pública; fecha límite de corrección: 2026-07-13) |
Nota sobre la causa raíz (un punto no resuelto)
La CNA clasifica el problema de subida como CWE-434. Evalúe la exposición usando tanto la versión de la extensión como las condiciones de versión de Joomla indicadas por el desarrollador.
Cómo responder
Actualice a 4.0.8 o posterior (máxima prioridad)
Compruebe si hay compromiso (suponga que fue alcanzado antes de actualizar)
Defensa temporal hasta poder actualizar (defensa en profundidad)
Inventario de extensiones y supervisión automatizada de CVE
Postura de este sitio: prevenir todo el patrón por diseño, no solo esta CVE
Este es un caso de un patrón explotado en varias extensiones de Joomla seguidas. En el mismo periodo, la CVE-2026-48908 (SP Page Builder) y una extensión hermana, la CVE-2026-56290, se explotaron de la misma forma: "subida sin autenticación → RCE". La actualización es obligatoria, pero a largo plazo lo que compensa es eliminar el patrón por diseño: autenticar el endpoint de subida, aplicar una lista de permitidos y análisis de contenido en el servidor, y almacenar fuera de la raíz web o desactivar la ejecución. Consulte las vulnerabilidades de subida de archivos y cómo defenderse.
Lectura recomendada
- Defensa (duradera): vulnerabilidades de subida de archivos: cómo eliminar web shells y RCE por diseño
- Mismo patrón, alerta: CVE-2026-48908 (SP Page Builder / Joomla)
- Glosario: qué es la RCE (ejecución remota de código) / qué es una CVE
- Todas las alertas: alertas de vulnerabilidades
Fuentes y alcance
Estas referencias primarias respaldan los ajustes, el alcance o las acciones de corrección comentados arriba; los enlaces se revisaron el 23 de octubre de 2026. Consulte sus condiciones de versión y configuración. Las prioridades y lecciones de la lista de comprobación son orientación de este sitio, no una revalidación completa del artículo ni una garantía de seguridad.