Лента угроз

КритическаяCVSS10.0#CVE-2026-48908 #загрузка файлов #Joomla #RCE #web shell

CVE-2026-48908 — Загрузка файла без аутентификации, ведущая к RCE, в SP Page Builder (Joomla): разбор и исправления

CVE-2026-48908 — загрузка файла без аутентификации, ведущая к RCE, в SP Page Builder 6.6.1 и более ранних версиях для Joomla (CVSS 10.0, KEV). Обновитесь до 6.6.2 и проверьте систему на компрометацию.

Опубликовано 2026-07-08 Обновлено 2026-10-04 Последняя проверка 2026-11-02 5 мин чтения

На этой странице

Консультация по защите от уязвимости, для которой подтверждена эксплуатация в реальных атаках (есть в CISA KEV). Здесь описано, что происходит, что затронуто и как реагировать, без инструкций по атаке и без proof-of-concept. Об устойчивой защите на уровне проектирования см. уязвимости загрузки файлов и способы защиты.

Сводка по уязвимости

CVE: CVE-2026-48908
Серьезность: Критическая (CVSS 10.0 / v4.0 по данным CNA; NVD оценивает как CVSS v3.1 9.8) — активно эксплуатируется (CISA KEV)
Тип: Произвольная загрузка файлов без аутентификации → RCE (CWE-434)
Последствия: Удаленное выполнение кода (RCE) без аутентификации
Затронуто: SP Page Builder для Joomla (JoomShaper) — 6.6.1 и более ранние версии
Основное исправление: Обновление до 6.6.2 или новее

10.0

CVSS / самый высокий класс

Без аутентификации

Доступность

RCE

Доступное последствие

Исправлено в 6.6.2

Основное исправление

Доступ без аутентификации

Произвольная загрузка файлов

Файл попадает туда, где его можно выполнить

Удаленное выполнение кода

Исправление: обновление до 6.6.2 или новее

Решает исход не то, что файл был принят, а то, что он может выполниться там, куда попал. Обновление закрывает путь проникновения.

Главное

если вы используете SP Page Builder, обновитесь до 6.6.2 или новее прямо сейчас и проверьте признаки вторжения

Атакующие используют уязвимость, которая позволяет разместить файл без входа в систему и затем выполнить код. Они оставляют способы возврата доступа (например, web shell), поэтому одного обновления недостаточно.

Если вы используете уязвимое расширение, обновитесь до 6.6.2 или новее прямо сейчас.
Причина — произвольная загрузка файлов без аутентификации: обработчик загрузки без проверки аутентификации и типа файла позволяет разместить исполняемый файл (CWE-434). Результат — RCE без какого-либо входа в систему (что такое RCE).
По сообщениям, загрузка пользовательских иконок выполнялась без аутентификации и проверки.
Считайте, что до обновления к вам могли получить доступ. По сообщениям, атаки сохраняются через web shell и несанкционированные учетные записи администраторов, поэтому они могут остаться даже после закрытия точки входа.

Почему опасно не устанавливать исправление

Поскольку RCE доступна без аутентификации, это приоритетная цель для автоматизированного массового сканирования (поэтому уязвимость попала в список KEV). По данным Censys, значительно более ста тысяч доступных из интернета ресурсов работают на SP Page Builder, а уязвимые версии атаковались в большом масштабе. Аргумент «мы слишком малы, чтобы нас атаковали» не работает.

Что затронуто

Параметр	Подробности
Расширение	SP Page Builder для Joomla (JoomShaper)
Уязвимые версии	6.6.1 и более ранние
Исправленная версия	6.6.2 и новее
Условие	Аутентификация не требуется
Доступное последствие	Удаленное выполнение кода (RCE); кража данных

Примечание о полноте исправления (обе стороны, не урегулировано)

По сообщениям, 6.6.2 закрывает активно эксплуатируемый путь (загрузка пользовательских иконок). Отдельно сообщение сообщества утверждало, что вторичный путь (часть обработки на стороне администратора) в 6.6.2 по-прежнему не имел проверки аутентификации; в ответ производитель (JoomShaper), по сообщениям, оспорил это, заявив, что контроллер редактора сначала проверяет аутентификацию, и указал на исправление в следующем обновлении. Поскольку вопрос не урегулирован, обновитесь до 6.6.2, сохраните многоуровневую защиту и следите за следующим релизом (6.6.x).

Как реагировать

Обновитесь до 6.6.2+ (главный приоритет)

Обновите расширение до исправленной версии. Именно это действительно блокирует RCE. После обновления проверьте установленную версию. Если расширение не используется, удалите его.

Проверьте на компрометацию (считайте, что до обновления к вам могли получить доступ)

Ищите неожиданные учетные записи администраторов (например, с несуществующим доменом электронной почты), посторонние PHP-файлы, подозрительный исходящий трафик и неаутентифицированные POST-запросы к уязвимому обработчику загрузки в журналах доступа. Считайте, что при RCE могли утечь переменные окружения и вся база данных.

Временная защита до обновления (многоуровневая защита)

Если обновиться сразу нельзя, ограничьте доступ к функции, отключите выполнение скриптов в каталоге загрузок и временно используйте WAF, чтобы снизить риск. Это лишь закрывает брешь на время; настоящее исправление — обновление.

Составьте инвентарь расширений и отслеживайте CVE автоматически

Составьте список расширений и зависимостей, удалите неиспользуемые и автоматически отслеживайте остальные на наличие CVE (Dependabot / osv-scanner). Это системно предотвращает ситуацию, когда известная публичная CVE упущена и остается непатченной.

Позиция этого сайта: предотвращать весь шаблон на уровне проектирования, а не только эту CVE

Этот инцидент — один из примеров распространенного шаблона «загрузка без аутентификации → RCE» (родственное расширение для Joomla, CVE-2026-56290, в тот же период эксплуатировалось тем же способом). Обновление обязательно, но долгосрочную пользу дает исключение этого шаблона на уровне проектирования: требуйте аутентификацию для конечной точки загрузки, применяйте белый список и проверку содержимого на сервере, а также храните файлы вне корня веб-сервера или отключайте выполнение. См. уязвимости загрузки файлов и способы защиты.

Читайте далее

Защита (устойчивая): уязвимости загрузки файлов — исключение web shell и RCE на уровне проектирования
Тот же шаблон, оповещение: CVE-2026-48939 (iCagenda / Joomla, загрузка без аутентификации → RCE)
Глоссарий: что такое RCE (удаленное выполнение кода) / что такое CVE
Все оповещения: оповещения об уязвимостях

FAQ

QЧто позволяет сделать CVE-2026-48908?

Неаутентифицированный злоумышленник может загрузить произвольный файл (например, PHP) на сайт Joomla с уязвимым расширением и добиться его выполнения, то есть удаленного выполнения кода (RCE). Это напрямую ведет к изменению страниц сайта, краже данных, созданию несанкционированных учетных записей администраторов и атакам на другие системы. Уязвимость относится к числу самых серьезных: CVSS 10.0, а эксплуатация подтверждена (есть в CISA KEV).

QКакое исправление самое надежное?

Обновите расширение SP Page Builder до версии 6.6.2 или новее. По сообщениям, в 6.6.2 уязвимая загрузка защищена проверкой аутентификации и прав доступа, а также токеном CSRF. Пока обновление невозможно, снижайте риск поэтапно: ограничьте доступ к функции, отключите выполнение скриптов в каталоге загрузок и используйте WAF.

QЕсли я обновлюсь, буду ли я защищен от компрометации?

Обновление останавливает будущие вторжения, но вопрос о том, были ли атаки до обновления, отдельный. По сообщениям, атакующие стремятся сохранить доступ: они размещают web shell и несанкционированные учетные записи администраторов (например, с несуществующим доменом электронной почты), которые переживают установку исправления. После обновления обязательно проверьте систему на компрометацию (неожиданные администраторы, посторонние PHP-файлы, подозрительный исходящий трафик).