CISA 警告 Joomla 扩展中存在被积极利用的 RCE 漏洞

美国网络安全和基础设施安全局（CISA）警告称，攻击者正在利用 Joomla 的 iCagenda 和 Balbooa Forms 扩展中的漏洞，通过任意文件上传实现远程代码执行。
该机构已将这些漏洞列为最高优先级，要求联邦机构在三天内应用可用的安全更新和/或缓解措施，截止日期为今天。
第一个漏洞编号为 CVE-2026-48939，是一个影响 iCagenda 扩展的任意文件上传漏洞，该扩展用于注册和安排活动以及创建日历。
攻击者可以利用该漏洞将任意文件（包括 PHP 脚本）上传到 Web 服务器，这可能导致数据窃取、Web shell 安装，以及通过实现远程代码执行（RCE）导致网站完全失陷。
CISA 在其已知被利用漏洞（KEV）目录中警告称："iCagenda 存在对具有危险类型的文件的无限制上传漏洞，允许在文件附件功能中上传任意文件，最终导致 PHP 代码上传和执行。"
第二个被添加到 KEV 的漏洞是 CVE-2026-56291，这是 Joomla 的 Balbooa Forms 扩展中的一个任意文件上传问题。
Balbooa Forms 是一个拖放式表单构建器，用于在 Joomla 网站上创建联系表单，并支持文件上传。
据 CISA 称，此功能可用于上传危险文件类型（例如可执行文件），导致 RCE 和网站完全接管。
根据网站管理和安全平台 mySites.guru 的说法，在供应商发布补丁之前，这两个漏洞都已在自动化攻击中被利用。
对于 iCagenda，攻击在版本 4.0.8 发布前仅几个小时就被观察到，该版本修复了 CVE-2026-48939。
该管理服务表示，Balbooa Forms 中的 CVE-2026-56291 漏洞被作为零日漏洞利用，自 7 月 8 日起就被用于攻击，而供应商在一天后才发布了修复程序。
管理 Joomla 网站的网站管理员应检查是否存在 iCagenda 和 Balbooa Forms，并在必要时采取措施保护其资产。
这些漏洞已在以下版本中修复：iCagenda 版本 4.0.8 和 3.9.15（于 6 月 15-16 日发布），以及 Balbooa Forms 版本 2.4.1（于 7 月 9 日发布）。