这是一份针对已确认在野被利用漏洞（已列入 CISA KEV）的防御性安全公告。内容包括漏洞情况、受影响范围和应对措施，不包含攻击方法或概念验证代码。关于从设计层面进行持久防御，请参阅文件上传漏洞及防御方法。
Joomla 版本条件与访客提交的区别
开发者将严重远程代码执行限定于 Joomla 6.0.0–6.1.1 的组合。其他 Joomla 版本上的访客提交问题与此不同。版本 3.9.15 修复的是 Joomla 3 上的该提交问题，并非此处的远程代码执行修复。更新并不能清除已经存在的入侵痕迹。
- CVE
- CVE-2026-48939
- 严重程度
- 严重（CVSS 10.0 / v4.0；9.8 / v3.1）— 已被实际利用（CISA KEV）
- 类型
- 未认证任意文件上传 → 远程代码执行（CWE-434）
- 影响
- 无需认证即可远程代码执行（RCE）
- 受影响范围
- Joomla 版 iCagenda — iCagenda 3.9.14–4.0.7，运行于 Joomla 6.0.0–6.1.1
- 主要修复
- 更新至 4.0.8 或更高版本
无需认证即可访问
任意文件上传
落入可被执行的位置
远程代码执行
修复：更新至 4.0.8 或更高版本
为什么不打补丁很危险
由于远程代码执行无需认证即可触发，它是自动化大规模扫描的主要目标（这也是其被列入 KEV 名单的原因）。CISA 要求联邦机构在 2026-07-13 之前完成修复。活动日历看似只是次要功能，但只要公开表单可从互联网访问，功能大小就无关紧要。
受影响范围
| 项目 | 详情 |
|---|---|
| 扩展 | Joomla 版 iCagenda（活动日历扩展） |
| 受影响版本 | iCagenda 3.9.14–4.0.7，运行于 Joomla 6.0.0–6.1.1 |
| 修复版本 | 4.0.8 及更高版本 |
| 前提条件 | 公开表单，无需认证 |
| 可达影响 | 远程代码执行（RCE）；数据窃取 |
| 状态 | 已被实际利用（CISA KEV；存在公开 PoC；修复截止日期为 2026-07-13） |
关于根本原因的说明（尚未明确的问题）
CNA 将该上传问题归类为 CWE-434。评估暴露风险时，请同时参考扩展版本以及开发者给出的 Joomla 版本条件。
应对措施
更新至 4.0.8 或更高版本（最优先）
检查是否遭入侵（假定在更新前已被触达）
在无法立即更新前的临时防护（纵深防御）
梳理扩展并持续监控 CVE
本站观点：从设计上防止整类模式，而不仅是这一个 CVE
这是一连串针对 Joomla 扩展的同类利用模式中的一例。同一时期，CVE-2026-48908（SP Page Builder）以及同类扩展 CVE-2026-56290 也以相同方式被利用，即“未认证上传 → 远程代码执行”。及时更新是必须的，但长期有效的做法是从设计上消除这一模式：对上传接口进行认证，在服务器端实施白名单加内容检查，并将文件存储在 Web 根目录之外或禁止执行。请参阅文件上传漏洞及防御方法。
延伸阅读
- 持久防御：文件上传漏洞——从设计上杜绝 Web Shell / 远程代码执行
- 同类模式警报：CVE-2026-48908（SP Page Builder / Joomla）
- 术语表：什么是 RCE（远程代码执行） / 什么是 CVE
- 全部警报：漏洞警报
来源与范围
以下主要参考资料支持本文讨论的设置、范围或修复措施；链接检查日期为 2026 年 10 月 23 日。请参考其中的版本和配置条件。检查清单的优先级与经验总结是本站的指导意见，并非对全文的重新核验，也不构成安全保证。