這是一則針對已確認在野外遭利用（列於 CISA KEV）漏洞的防禦性公告。內容涵蓋發生了什麼、哪些版本受影響，以及如何應對，但不包含攻擊方法或概念驗證程式碼。若需要設計層面的長期防禦，請參閱檔案上傳漏洞與防禦方法。
Joomla 版本條件與訪客提交問題的區別
開發者將嚴重 RCE 限定於 Joomla 6.0.0–6.1.1 的組合。其他 Joomla 版本上的訪客提交是另一個問題。3.9.15 版修復的是 Joomla 3 上的該提交問題，並非此處的 RCE 修補。更新並不會移除既有的入侵痕跡。
- CVE
- CVE-2026-48939
- 嚴重性
- 嚴重（CVSS 10.0 / v4.0；9.8 / v3.1）— 已遭積極利用（CISA KEV）
- 類型
- 未驗證的任意檔案上傳 → RCE（CWE-434）
- 影響
- 未經驗證的遠端程式碼執行（RCE）
- 受影響範圍
- iCagenda for Joomla — iCagenda 3.9.14–4.0.7，於 Joomla 6.0.0–6.1.1 上
- 主要修補
- 更新至 4.0.8 或更新版本
無需驗證即可觸及
任意檔案上傳
落在可執行的位置
遠端程式碼執行
修補：更新至 4.0.8 或更新版本
為何不修補很危險
由於 RCE 無需驗證即可觸及，它是自動化大規模掃描的主要目標（這也是它列入 KEV 清單的原因）。CISA 要求聯邦機關於 2026-07-13 前完成修補。活動行事曆看似只是小功能，但只要公開表單面向網際網路，功能大小就無關緊要。
受影響範圍
| 項目 | 說明 |
|---|---|
| 擴充套件 | iCagenda for Joomla（活動行事曆擴充套件） |
| 受影響版本 | iCagenda 3.9.14–4.0.7，於 Joomla 6.0.0–6.1.1 上 |
| 修補版本 | 4.0.8 及更新版本 |
| 前提條件 | 無需驗證（透過公開表單） |
| 可達影響 | 遠端程式碼執行（RCE）；資料竊取 |
| 狀態 | 已遭積極利用（CISA KEV；存在公開 PoC；修補期限為 2026-07-13） |
關於根本原因的說明（尚未定論之處）
CNA 將上傳問題歸類為 CWE-434。評估曝險時，請同時參考擴充套件版本與開發者所列的 Joomla 版本條件。
如何應對
更新至 4.0.8 以上（最優先）
檢查是否遭入侵（假設在更新前已遭觸及）
更新前的暫時防禦（縱深防禦）
盤點擴充套件並機器監控 CVE
本站看法：從設計上防止整個模式，而不只是這一個 CVE
這是一連串在 Joomla 擴充套件上被利用之模式的其中一例。同一時期，CVE-2026-48908（SP Page Builder）以及同系列的擴充套件 CVE-2026-56290 也以相同方式遭利用，即「未驗證上傳 → RCE」。單次更新是必要的，但長期真正有效的是從設計上消除此模式：為上傳端點加上驗證，在伺服器端採用允許清單並檢查內容，並將檔案儲存於網頁根目錄之外，或停用執行權限。請參閱檔案上傳漏洞與防禦方法。
延伸閱讀
- 長期防禦：檔案上傳漏洞——從設計上消除網頁後門／RCE
- 同一模式的警示：CVE-2026-48908（SP Page Builder／Joomla）
- 詞彙表：什麼是 RCE（遠端程式碼執行）／什麼是 CVE
- 所有警示：漏洞警示
來源與範圍
以下主要參考資料支持本文討論的設定、範圍或修補措施；連結於 2026 年 10 月 23 日檢查。請參閱其版本與設定條件。檢查清單的優先順序與經驗教訓屬於本站的指引，並非完整的文章重新驗證，也不構成安全保證。