这是一份针对已确认在野被利用（已列入 CISA KEV）漏洞的防御性通告，说明事件经过、受影响范围及应对方法，不包含攻击方法或概念验证代码。关于从设计层面进行的长期防御，请参阅文件上传漏洞及防御方法。
- CVE
- CVE-2026-48908
- 严重程度
- 严重（CVSS 10.0 / 由 CVE 编号机构提供的 v4.0；NVD 评定为 CVSS v3.1 9.8）— 已被积极利用（CISA KEV）
- 类型
- 未认证任意文件上传导致 RCE（CWE-434）
- 影响
- 无需认证的远程代码执行（RCE）
- 受影响范围
- JoomShaper 开发的 Joomla 扩展 SP Page Builder — 6.6.1 及更早版本
- 主要修复
- 更新至 6.6.2 或更高版本
10.0
CVSS / 最高等级
无需认证
可达性
RCE
可达影响
6.6.2 已修复
主要修复
无需认证即可访问
任意文件上传
落在可执行的位置
远程代码执行
修复：更新至 6.6.2 或更高版本
为什么不打补丁很危险
由于 RCE 无需认证即可触达，它是自动化大规模扫描的主要目标（这也是它被列入 KEV 的原因）。Censys 统计到远超十万个面向互联网、运行 SP Page Builder 的站点，受影响版本已遭大规模攻击。“我们规模太小，不会成为目标”并不成立。
受影响范围
| 项目 | 详情 |
|---|---|
| 扩展 | JoomShaper 开发的 Joomla 扩展 SP Page Builder |
| 受影响版本 | 6.6.1 及更早版本 |
| 修复版本 | 6.6.2 及更高版本 |
| 前提条件 | 无需认证 |
| 可达影响 | 远程代码执行（RCE）；数据窃取 |
关于补丁完整性的说明（双方观点，尚未解决）
据报道，6.6.2 已关闭正在被利用的路径（自定义图标上传）。另外，一份社区报告称，6.6.2 中还有一条次要路径（部分管理端处理逻辑）缺少认证检查；对此，供应商 JoomShaper 据报道予以否认，称编辑端控制器会先执行认证，同时表示将在后续更新中修复。由于此事尚无定论，请更新至 6.6.2，保持纵深防御措施，并关注下一个版本（6.6.x）。
应对方法
1
更新至 6.6.2 及以上（最优先）
将扩展更新至已修复的版本。这是真正阻断 RCE 的措施。之后请确认当前运行的版本。如果不再使用该扩展，请将其删除。
2
检查是否已遭入侵（假定更新前已被攻击）
查找异常的管理员账户（例如使用不存在的邮箱域名的管理员）、零散的 PHP 文件、可疑的外连流量，以及访问日志中对受影响上传处理程序的未认证 POST 请求。应将 RCE 视为“环境变量和整个数据库可能已泄露”。
3
在无法更新前的临时防御（纵深防御）
如果无法立即更新，请限制对该功能的访问，禁止上传目录中的脚本执行，并使用 WAF 暂时降低暴露面。这只是弥补漏洞缺口，真正的修复仍是更新。
4
梳理扩展并对 CVE 进行自动监控
梳理你的扩展和依赖，删除未使用的部分，并通过 Dependabot / osv-scanner 等工具自动监控其余部分的 CVE。这可以从结构上避免“已知的公开 CVE 被遗漏而未打补丁”的情况。
本站观点：从设计上防止整类问题，而不只是这一个 CVE
这一事件是常见模式“未认证上传 → RCE”的一个实例（同期另一个 Joomla 扩展 CVE-2026-56290 也以相同方式被利用）。立即更新是必须的，但长期真正有效的是从设计上消除这一模式：对上传接口进行认证，在服务端结合白名单与内容检查，并将文件存放在 Web 根目录之外或禁止执行。参见文件上传漏洞及防御方法。
延伸阅读
- 长期防御：文件上传漏洞——从设计上消除 Web Shell / RCE
- 同类模式的预警：CVE-2026-48939（iCagenda / Joomla 未认证上传 → RCE）
- 术语表：什么是 RCE（远程代码执行） / 什么是 CVE
- 全部预警：漏洞预警