CISA đưa 2 lỗ hổng Joomla extension vào danh mục KEV do bị khai thác chủ động
"CISA added two actively exploited Joomla extension vulnerabilities to its Known Exploited Vulnerabilities catalog: CVE-2026-48939 in iCagenda and CVE-2026-56291 in Balbooa Forms. Both flaws are rated CVSS 10.0 and allow arbitrary file upload that can lead to remote code execution on affected sites; fixes are available in iCagenda 4.0.8/3.9.15 and Balbooa Forms 2.4.1."
Nguy cơ cao do RCE có thể xảy ra trực tiếp từ upload tệp tùy ý; CVSS 10.0 và việc khai thác chủ động làm tăng khả năng bị xâm nhập nhanh.
Tác động vận hành đáng kể vì các site Joomla công khai có thể bị chiếm quyền, kéo theo gián đoạn dịch vụ và chi phí xử lý sự cố; cần cập nhật khẩn để giảm thời gian phơi nhiễm.
CISA vừa bổ sung hai lỗ hổng Joomla extension vào danh mục Known Exploited Vulnerabilities (KEV) sau khi xác nhận có kẻ tấn công khai thác thực tế để tải lên mã độc lên các website bị ảnh hưởng. Hai CVE được nêu gồm CVE-2026-48939 (iCagenda) và CVE-2026-56291 (Balbooa Forms). Cả hai đều có CVSS 10.0 và cho phép kẻ tấn công upload tệp tùy ý, từ đó có thể dẫn tới thực thi mã từ xa (RCE) trên máy chủ.
Joomla được sử dụng rộng rãi (ước tính khoảng 1,2% tổng số website, tương đương gần một triệu site), trong đó các extension của bên thứ ba thường xử lý nhiều chức năng quan trọng ngoài lõi CMS. Với iCagenda, CISA cho biết kẻ tấn công lợi dụng tính năng đính kèm trong “Submit an Event” để đưa tệp PHP độc hại vào hệ thống. Với Balbooa Forms, nghiên cứu ghi nhận endpoint tải tệp phía giao diện chấp nhận tệp từ người dùng ẩn danh mà thiếu xác thực, thiếu CSRF protection và kiểm tra loại tệp không đầy đủ, cho phép upload vào thư mục công khai để thực thi.
Khuyến nghị: rà soát phiên bản đang dùng và cập nhật lên iCagenda 4.0.8/3.9.15 và Balbooa Forms 2.4.1; ưu tiên các site công khai và kiểm tra dấu hiệu web shell sau khi cập nhật.