Um alerta defensivo sobre uma vulnerabilidade com exploração confirmada na prática (listada na KEV da CISA). Explica o que acontece, o que é afetado e como responder, sem instruções de ataque nem prova de conceito. Para a defesa duradoura em nível de projeto, veja vulnerabilidades de upload de arquivos e como se defender.
- CVE
- CVE-2026-48908
- Severidade
- Crítica (CVSS 10.0 / v4.0 pela autoridade de numeração de CVEs; o NVD classifica como CVSS v3.1 9.8) — explorada ativamente (KEV da CISA)
- Tipo
- Upload arbitrário de arquivos sem autenticação → RCE (CWE-434)
- Impacto
- Execução remota de código (RCE) sem autenticação
- Afetado
- SP Page Builder para Joomla (JoomShaper) — 6.6.1 e anteriores
- Correção principal
- Atualizar para 6.6.2 ou posterior
Alcançado sem autenticação
Upload arbitrário de arquivos
Cai em um lugar onde pode ser executado
Execução remota de código
Correção: atualizar para 6.6.2 ou posterior
Por que não aplicar a correção é perigoso
Como o RCE pode ser alcançado sem autenticação, ele é alvo preferencial de varreduras automatizadas em massa (e por isso entrou na lista KEV). A Censys mediu bem mais de cem mil propriedades acessíveis pela internet com o SP Page Builder, e as versões afetadas foram atacadas em grande escala. "Somos pequenos demais para ser alvo" não se sustenta.
O que é afetado
| Item | Detalhe |
|---|---|
| Extensão | SP Page Builder para Joomla (JoomShaper) |
| Versões afetadas | 6.6.1 e anteriores |
| Versão corrigida | 6.6.2 e posteriores |
| Pré-condição | Nenhuma autenticação necessária |
| Impacto possível | Execução remota de código (RCE); roubo de dados |
Uma observação sobre a completude da correção (dois lados, sem resolução)
Segundo relatos, a 6.6.2 fecha o caminho explorado ativamente (o upload de ícone personalizado). Além disso, um relato da comunidade afirmou que um caminho secundário (parte do tratamento no lado administrativo) ainda não tinha verificação de autenticação na 6.6.2; em resposta, o fornecedor (JoomShaper) teria contestado, dizendo que o controlador do editor impõe autenticação antes, e sinalizado uma correção em uma atualização seguinte. Como o assunto não está resolvido, atualize para a 6.6.2, mantenha as defesas em profundidade e acompanhe a próxima versão (6.6.x).
Como responder
Atualize para 6.6.2+ (prioridade máxima)
Verifique comprometimento (considere que você pode ter sido alcançado antes da atualização)
Defesa temporária até poder atualizar (defesa em profundidade)
Faça o inventário de extensões e monitore CVEs por ferramenta
Visão deste site: prevenir o padrão inteiro por design, não apenas este CVE
Este incidente é mais um caso de um padrão comum: "upload sem autenticação → RCE" (uma extensão irmã do Joomla, CVE-2026-56290, foi explorada da mesma forma no mesmo período). A atualização é obrigatória, mas o que compensa a longo prazo é eliminar o padrão no design: exigir autenticação no endpoint de upload, usar lista de permissões e inspeção de conteúdo no servidor, e armazenar fora da raiz web ou desativar a execução. Veja vulnerabilidades de upload de arquivos e como se defender.
Leia em seguida
- Defesa (duradoura): vulnerabilidades de upload de arquivos — eliminando web shells / RCE no design
- Mesmo padrão, alerta: CVE-2026-48939 (iCagenda / upload sem autenticação para RCE no Joomla)
- Glossário: o que é RCE (execução remota de código) / o que é um CVE
- Todos os alertas: alertas de vulnerabilidade