Консультативный материал для защитников об уязвимости, которая подтверждённо эксплуатируется в реальных атаках (включена в CISA KEV). Описано, что происходит, что затронуто и как реагировать — без инструкций по атаке и без proof-of-concept. Подход к защите на уровне дизайна см. в статье об уязвимостях загрузки файлов и способах защиты.
Условие по версии Joomla и гостевая отправка
Разработчик ограничивает критическую RCE комбинациями Joomla 6.0.0–6.1.1. Гостевая отправка на других версиях Joomla — отдельная проблема. Версия 3.9.15 исправляет эту проблему отправки для Joomla 3; здесь это не исправление RCE. Обновление не устраняет уже существующую компрометацию.
- CVE
- CVE-2026-48939
- Серьёзность
- Критическая (CVSS 10.0 / v4.0; 9.8 / v3.1) — активно эксплуатируется (CISA KEV)
- Тип
- Загрузка произвольных файлов без аутентификации → RCE (CWE-434)
- Последствия
- Удалённое выполнение кода (RCE) без аутентификации
- Затронуто
- iCagenda для Joomla — iCagenda 3.9.14–4.0.7 на Joomla 6.0.0–6.1.1
- Основное исправление
- Обновление до 4.0.8 или новее
Доступ без аутентификации
Произвольная загрузка файлов
Попадает туда, где может выполниться
Удалённое выполнение кода
Исправление: обновление до 4.0.8 или новее
Почему опасно не устанавливать исправление
Поскольку RCE достижима без аутентификации, это приоритетная цель для автоматического массового сканирования (поэтому уязвимость попала в список KEV). CISA обязала федеральные агентства устранить проблему до 2026-07-13. Календарь мероприятий может показаться второстепенной функцией, но если публичная форма доступна из интернета, размер сайта не имеет значения.
Что затронуто
| Элемент | Подробности |
|---|---|
| Расширение | iCagenda для Joomla (расширение календаря мероприятий) |
| Затронутые версии | iCagenda 3.9.14–4.0.7 на Joomla 6.0.0–6.1.1 |
| Исправленная версия | 4.0.8 и новее |
| Условие | Не требуется аутентификация (через публичную форму) |
| Достижимое воздействие | Удалённое выполнение кода (RCE); кража данных |
| Статус | Активно эксплуатируется (CISA KEV; существует публичный PoC; срок устранения — 2026-07-13) |
Примечание о первопричине (неокончательный вывод)
CNA классифицирует проблему загрузки как CWE-434. Оценивайте подверженность, учитывая как версию расширения, так и условия по версии Joomla, указанные разработчиком.
Как реагировать
Обновите до 4.0.8+ (наивысший приоритет)
Проверьте наличие компрометации (считайте, что доступ был до обновления)
Временная защита до обновления (эшелонированная защита)
Составьте инвентаризацию расширений и отслеживайте CVE автоматически
Позиция этого сайта: предотвращать весь шаблон на уровне дизайна, а не только эту CVE
Это один из примеров шаблона, который подряд эксплуатировался в расширениях Joomla. В тот же период CVE-2026-48908 (SP Page Builder) и родственное расширение CVE-2026-56290 эксплуатировались тем же способом — «загрузка без аутентификации → RCE». Одно обновление обязательно, но в долгосрочной перспективе окупается устранение самого шаблона на уровне дизайна: аутентификация конечной точки загрузки, серверная проверка по списку разрешённых типов с анализом содержимого и хранение вне веб-корня или отключение выполнения. См. об уязвимостях загрузки файлов и способах защиты.
Что читать дальше
- Защита (долгосрочная): уязвимости загрузки файлов — устранение веб-шеллов и RCE на уровне дизайна
- Тот же шаблон, оповещение: CVE-2026-48908 (SP Page Builder / Joomla)
- Глоссарий: что такое RCE (удалённое выполнение кода) / что такое CVE
- Все оповещения: оповещения об уязвимостях
Источники и область охвата
Эти первоисточники подтверждают настройки, область охвата или рекомендации по устранению, описанные выше; ссылки проверены 23 октября 2026 года. Сверяйтесь с условиями по версиям и конфигурации, которые указаны в них. Приоритеты контрольного списка и выводы — это рекомендации данного сайта, а не полная повторная проверка статьи и не гарантия безопасности.