CISA đưa lỗ hổng Joomla JCE vào danh sách KEV do đang bị khai thác
"CISA added CVE-2026-48907, a maximum-severity improper access control flaw in Widget Factory Joomla Content Editor (JCE), to its Known Exploited Vulnerabilities catalog due to evidence of active exploitation. The issue affects JCE versions 1.0.0 through 2.9.99.4 and can allow unauthenticated attackers to create editor profiles and upload/execute PHP code; it was fixed in version 2.9.99.5 released on June 3, 2026."
Nguy cơ cao do CVE-2026-48907 có thể cho phép PHP code execution mà không cần xác thực; CISA xếp mức maximum severity và đưa vào KEV vì đang bị khai thác.
Có thể gây gián đoạn dịch vụ và rủi ro chiếm quyền trên hệ thống Joomla; yêu cầu nâng cấp theo mốc 19/6/2026 tạo áp lực tuân thủ và vận hành.
CISA cho biết đã bổ sung Widget Factory Joomla Content Editor (JCE) vào danh sách Known Exploited Vulnerabilities (KEV), do có bằng chứng về việc khai thác đang diễn ra trong thực tế. Lỗ hổng được theo dõi là CVE-2026-48907 với CVSS 10.0, thuộc nhóm improper access control có thể dẫn tới PHP code execution.
Theo mô tả trên CVE.org, JCE cho phép kẻ tấn công tạo editor profiles mới cho người dùng chưa xác thực, từ đó có thể upload và thực thi mã PHP thông qua cơ chế của phần mở rộng. Phạm vi ảnh hưởng là các phiên bản JCE 1.0.0 đến 2.9.99.4.
CISA nêu rằng bản vá đã có ở JCE 2.9.99.5, phát hành ngày 3/6/2026; ghi chú phát hành của nhà cung cấp đề cập việc insufficient access controls cho phép người dùng chưa xác thực tải lên editor profiles. Các cơ quan FCEB được yêu cầu áp dụng khắc phục trước 19/6/2026.
Khuyến nghị: rà soát cài đặt JCE trong môi trường Joomla, nâng cấp lên 2.9.99.5 hoặc cao hơn, đồng thời kiểm tra dấu hiệu tạo editor profiles bất thường và hoạt động upload/execute mã PHP.