Um aviso defensivo sobre uma vulnerabilidade com exploração confirmada em ambientes reais (listada no CISA KEV). Descreve o que acontece, o que é afetado e como responder, sem instruções de ataque nem prova de conceito. Para a defesa durável em nível de design, veja vulnerabilidades de upload de arquivos e como se defender.
Condição de versão do Joomla versus envio por visitantes
O desenvolvedor limita o RCE crítico às combinações Joomla 6.0.0–6.1.1. O envio por visitantes em outras versões do Joomla é um problema separado. A versão 3.9.15 corrige esse problema de envio no Joomla 3; não é uma correção de RCE aqui. A atualização não remove comprometimentos existentes.
- CVE
- CVE-2026-48939
- Gravidade
- Crítica (CVSS 10,0 / v4.0; 9,8 / v3.1) — explorada ativamente (CISA KEV)
- Tipo
- Upload arbitrário de arquivo sem autenticação → RCE (CWE-434)
- Impacto
- Execução remota de código (RCE) sem autenticação
- Afetado
- iCagenda para Joomla — iCagenda 3.9.14–4.0.7 no Joomla 6.0.0–6.1.1
- Correção principal
- Atualizar para a 4.0.8 ou posterior
Alcançado sem autenticação
Upload arbitrário de arquivo
Chega a um local onde pode ser executado
Execução remota de código
Correção: atualizar para a 4.0.8 ou posterior
Por que não corrigir é perigoso
Como o RCE pode ser alcançado sem autenticação, ele é alvo preferencial de varreduras automatizadas em massa (motivo pelo qual entrou na lista do KEV). A CISA determinou que as agências federais dos EUA corrijam até 2026-07-13. Um calendário de eventos pode parecer um recurso secundário, mas, se o formulário público estiver exposto à internet, o tamanho do site não importa.
O que é afetado
| Item | Detalhe |
|---|---|
| Extensão | iCagenda para Joomla (extensão de calendário de eventos) |
| Versões afetadas | iCagenda 3.9.14–4.0.7 no Joomla 6.0.0–6.1.1 |
| Versão corrigida | 4.0.8 e posteriores |
| Pré-condição | Nenhuma autenticação exigida (pelo formulário público) |
| Impacto alcançável | Execução remota de código (RCE); roubo de dados |
| Status | Explorada ativamente (CISA KEV; existe prova de conceito pública; prazo de correção 2026-07-13) |
Nota sobre a causa raiz (ponto não esclarecido)
A CNA classifica o problema de upload como CWE-434. Avalie a exposição considerando tanto a versão da extensão quanto as condições de versão do Joomla informadas pelo desenvolvedor.
Como responder
Atualize para a 4.0.8+ (prioridade máxima)
Verifique comprometimento (presuma que houve acesso antes da atualização)
Defesa temporária até poder atualizar (defesa em profundidade)
Inventário de extensões + monitoramento automático de CVEs
Visão deste site: prevenir todo o padrão por design, não apenas este CVE
Este é mais um caso de um padrão explorado em sequência em extensões do Joomla. No mesmo período, CVE-2026-48908 (SP Page Builder) e uma extensão irmã, CVE-2026-56290, foram explorados da mesma forma: "upload sem autenticação → RCE". A atualização é obrigatória, mas o que traz retorno no longo prazo é eliminar o padrão no design: autenticar o endpoint de upload, usar lista de permissões com inspeção de conteúdo no servidor e armazenar fora da raiz web ou desativar a execução. Veja vulnerabilidades de upload de arquivos e como se defender.
Leia em seguida
- Defesa (durável): vulnerabilidades de upload de arquivos — eliminando web shells / RCE pelo design
- Mesmo padrão, alerta: CVE-2026-48908 (SP Page Builder / Joomla)
- Glossário: o que é RCE (execução remota de código) / o que é um CVE
- Todos os alertas: alertas de vulnerabilidade
Fontes e escopo
Estas referências primárias sustentam as configurações, o escopo ou as orientações de correção discutidas acima; os links foram verificados em 23 de outubro de 2026. Consulte as condições de versão e configuração de cada uma. As prioridades da lista de verificação e as lições são orientações deste site, não uma revalidação completa do artigo nem uma garantia de segurança.