Edytor JCE w Joomla z groźną luką — aktualizacja to nie wszystko

Jeśli Twoja strona działa na Joomla, jest spora szansa, że korzystasz z Joomla Content Editor (JCE) — to jeden z najczęściej instalowanych edytorów treści. CERT Polska ostrzega, że ma on właśnie krytyczną lukę, a gotowy kod do jej wykorzystania krąży już publicznie.

Co się stało

Podatność (CVE-2026-48907) pozwala napastnikowi bez logowania utworzyć nowy profil edytora, a przez niego wgrać i uruchomić własny kod PHP. Efekt końcowy jest taki sam jak przy innych tego typu lukach — pełne przejęcie strony lub serwera.

Najważniejsze zdanie z całego komunikatu: sama aktualizacja łata dziurę, ale nie cofa zmian, które napastnik zdążył już wprowadzić. Jeśli ktoś wszedł wcześniej, zostaje w środku.

Kogo dotyczy i jak się zabezpieczyć

Podatne są wszystkie wersje JCE do 2.9.99.4 włącznie. Bezpieczne wersje to 2.9.99.5 oraz najnowsza 2.9.99.6. Dla starszych stron, które nie mogą się w pełni zaktualizować, producent udostępnił darmowy pakiet łagodzący problem dla wersji 2.7.x, 2.8.x i 2.9.x.

Poza aktualizacją koniecznie sprawdź, czy strona nie nosi śladów włamania:

• nieznane profile edytora w sekcji JCE (często z losową nazwą, na górze listy),
• profile pozwalające wgrywać pliki PHP w ustawieniu dozwolonych rozszerzeń,
• podejrzane, nieautoryzowane pliki PHP w folderach images, media lub tmp,
• w logach serwera — nietypowe żądania do funkcji importu profili JCE.

To właśnie różnica między „załataniem" a „posprzątaniem". My robimy jedno i drugie: aktualizujemy edytor, przeglądamy stronę pod kątem tych wskaźników i usuwamy wszystko, co napastnik mógł zostawić.

Nie masz pewności, czy Twoja strona jest bezpieczna? Zgłoś ją do nas — sprawdzimy to za Ciebie, spokojnie i bez technicznego bełkotu.

Źródło: komunikat CERT Polska 101/2026