這是一則針對已確認在野外遭利用（列於 CISA KEV）漏洞的防禦性公告。內容說明發生了什麼、影響範圍，以及應如何應對，不包含攻擊教學或概念驗證程式碼。若需了解從設計層面進行的長期防禦，請參閱檔案上傳漏洞及防禦方法。
- CVE
- CVE-2026-48908
- 嚴重程度
- 嚴重（CVSS 10.0 / 由 CVE 編號管理機構提供的 v4.0；NVD 評為 CVSS v3.1 9.8）—— 已遭積極利用（CISA KEV）
- 類型
- 未驗證的任意檔案上傳 → 遠端程式碼執行（CWE-434）
- 影響
- 未經驗證即可達成遠端程式碼執行（RCE）
- 受影響
- 適用於 Joomla 的 SP Page Builder（JoomShaper）—— 6.6.1 及更早版本
- 主要修補
- 更新至 6.6.2 或更新版本
無需驗證即可到達
任意檔案上傳
存放於可被執行的位置
遠端程式碼執行
修補：更新至 6.6.2 或更新版本
為何不修補很危險
由於遠端程式碼執行無需驗證即可觸及，這類漏洞是自動化大規模掃描的主要目標（這也是它被列入 KEV 的原因）。Censys 測得遠超過十萬個面向網際網路、執行 SP Page Builder 的主機，受影響版本已遭大規模攻擊。「我們規模太小，不會成為目標」的想法並不成立。
受影響範圍
| 項目 | 詳情 |
|---|---|
| 外掛 | 適用於 Joomla 的 SP Page Builder（JoomShaper） |
| 受影響版本 | 6.6.1 及更早版本 |
| 已修復版本 | 6.6.2 及更新版本 |
| 前提條件 | 不需要身分驗證 |
| 可達影響 | 遠端程式碼執行（RCE）；資料竊取 |
關於修補完整性的說明（雙方說法，尚未確定）
據報導，6.6.2 已封閉正遭積極利用的路徑（自訂圖示上傳）。另有社群回報指出，6.6.2 中仍有一條次要路徑（管理端處理的一部分）缺乏身分驗證檢查；對此，廠商 JoomShaper 據報表示不同意，認為編輯端控制器會先執行身分驗證，同時表示將在後續更新中修正。由於此事尚無定論，請更新至 6.6.2，維持縱深防禦措施，並留意下一個版本（6.6.x）。
應對方式
更新至 6.6.2 以上（最優先）
檢查是否遭入侵（假設更新前可能已遭入侵）
在無法更新前的暫時防護（縱深防禦）
盤點外掛並監控 CVE
本站看法：從設計上避免整個模式，而非只針對此一 CVE
此事件是常見模式「未驗證上傳 → 遠端程式碼執行」的一個實例（同一時期，另一個 Joomla 外掛 CVE-2026-56290 也以相同方式遭利用）。更新是必要的，但長期真正有效的是從設計上消除此模式：為上傳端點加入身分驗證、在伺服器端採用白名單加內容檢查，並將檔案存放於網頁根目錄之外，或停用執行權限。請參閱檔案上傳漏洞及防禦方法。
延伸閱讀
- 長期防禦：檔案上傳漏洞——從設計上避免網頁後門與遠端程式碼執行
- 相同模式的警示：CVE-2026-48939（iCagenda / Joomla 未驗證上傳 → 遠端程式碼執行）
- 術語表：什麼是 RCE（遠端程式碼執行） / 什麼是 CVE
- 所有警示：漏洞警示