CISA đưa 2 lỗ hổng Joomla vào KEV do bị khai thác zero-day
"CISA added two Joomla extension vulnerabilities to its Known Exploited Vulnerabilities catalog after reports of active zero-day exploitation in the wild. CVE-2026-48939 affects iCagenda and allows arbitrary file upload leading to PHP code execution, while CVE-2026-56291 affects Balbooa Forms and enables unauthenticated arbitrary file upload leading to remote code execution; fixes are available in iCagenda 4.0.8/3.9.15 and Balbooa Forms 2.4.1."
Nguy cơ cao do upload tệp tùy ý dẫn tới PHP execution/RCE. Các điểm cần ưu tiên: CVE-2026-48939 (iCagenda) và CVE-2026-56291 (Balbooa Forms) đều được ghi nhận khai thác trong thực tế.
Tác động vận hành đáng kể vì kẻ tấn công có thể chiếm quyền thông qua RCE, gây gián đoạn dịch vụ và rủi ro rò rỉ dữ liệu. Do CISA đưa vào KEV, tổ chức cần ưu tiên vá nhanh để giảm thời gian phơi nhiễm.
CISA đã bổ sung CVE-2026-48939 và CVE-2026-56291 vào danh mục Known Exploited Vulnerabilities (KEV) sau các báo cáo về việc khai thác zero-day ngoài thực tế đối với các tiện ích mở rộng Joomla.
CVE-2026-48939 ảnh hưởng iCagenda (điểm CVSS 10.0). Lỗ hổng cho phép upload tệp tùy ý thông qua chức năng đính kèm, dẫn đến việc tải lên và thực thi mã PHP. Theo ghi nhận, việc khai thác nhắm vào “Submit an Event” và có thể được thực hiện bằng các yêu cầu tự động. Các phiên bản bị ảnh hưởng gồm iCagenda 4.x đến 4.0.7 và 3.x từ 3.2.1 đến 3.9.14. Bản vá có sẵn tại iCagenda 4.0.8 và 3.9.15.
CVE-2026-56291 ảnh hưởng Balbooa Forms (CVSS 10.0), cho phép upload tệp tùy ý dẫn tới remote code execution. Lỗ hổng tồn tại ở Balbooa Forms đến 2.4.0 và đã được khắc phục trong 2.4.1. Khuyến nghị: rà soát các thư mục tải lên (ví dụ images/icagenda/frontend/attachments/ và images/baforms/uploads), tìm các tệp không phải hình/tài liệu (đặc biệt đuôi .php), kiểm tra tài khoản quản trị bất thường và đối chiếu các tệp PHP mới được tạo/sửa đổi gần đây trên toàn hệ thống.