Kritinė Joomla spraga (CVSS 10.0): JCE redaktorius leidžia perimti svetainę be slaptažodžio

Birželio viduryje JAV Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) į savo aktyviai išnaudojamų spragų katalogą (KEV) įtraukė maksimalaus pavojingumo Joomla spragą — CVE-2026-48907, kurios CVSS įvertis siekia 10,0 iš 10. Klaida slypi viename populiariausių Joomla turinio redaktorių Joomla Content Editor (JCE, kūrėjas „Widget Factory“), o jos pasekmė tokia rimta, kokia tik gali būti: neautentifikuotas užpuolikas — be jokio slaptažodžio — gali įkelti ir paleisti savo PHP kodą serveryje.

Praktiškai tai reiškia visišką svetainės perėmimą: galimybę vogti duomenis, įdiegti kenkėjišką kodą, peradresuoti lankytojus ar paversti serverį dalimi botneto. CISA tokias spragas registruoja tik tada, kai turi įrodymų, kad jos jau realiai naudojamos atakose — tad tai ne teorinė rizika.

Kas tiksliai įvyko

JCE yra vienas seniausių ir plačiausiai naudojamų Joomla papildinių — milijonai svetainių jį pasitelkia kaip patogesnį turinio redaktorių vietoje standartinio. Būtent dėl tokio paplitimo viena spraga virsta masine problema.

Pažeidžiamumas — tai netinkamos prieigos kontrolės klaida (angl. improper access control). Užpuolikas gali sukurti naujus redaktoriaus profilius neturėdamas jokių teisių, o per juos — įkelti vykdomus PHP failus. Joomla bendruomenė įspėja, kad viešas exploit kodas ir automatizuotos atakos jau plinta internete, todėl neatnaujintos svetainės skenuojamos ir užkrečiamos masiškai.

Pažeidžiamos visos JCE versijos iki 2.9.99.5. Saugi versija — 2.9.99.5 arba naujesnė. CISA federalinėms JAV institucijoms nustatė terminą spragą uždaryti iki birželio 19 d.; tai geras orientyras ir visiems kitiems — laiko delsti nėra.

Kodėl būtent „nuotolinis kodo vykdymas“ (RCE) yra blogiausias įmanomas scenarijus? Daugelis svetainės spragų leidžia užpuolikui kažką pamatyti ar sugadinti. RCE leidžia paleisti savo programą jūsų serveryje — t. y. įgyti tokią pat galią, kokią turi pats svetainės administratorius. Nuo to momento puslapis nebėra jūsų: jis tampa įrankiu užpuoliko rankose. O kai atakai nereikia net slaptažodžio, vienintelė kliūtis lieka atnaujinta versija.

Kodėl tai svarbu Lietuvos verslui

Joomla nėra tokia populiari kaip „WordPress“, bet Lietuvoje ja vis dar sukasi nemažai įmonių svetainių, asociacijų ir senesnių projektų — neretai tokių, kurių niekas aktyviai neprižiūri. Būtent „pamiršti“, retai atnaujinami puslapiai ir yra lengviausias grobis: automatizuoti botai neskiria, ar tai didelės korporacijos, ar mažos kavinės svetainė — jie tiesiog ieško pažeidžiamos JCE versijos.

Užkrėsta svetainė kainuoja kur kas daugiau nei atnaujinimas: prarastas pasitikėjimas, „Google“ įspėjimai lankytojams, galimas asmens duomenų nutekėjimas (o kartu — ir BDAR rizika) bei valandos darbo valant serverį. Prevencija čia pigesnė už pasekmes bent dešimteriopai.

Ne viena spraga: krenta ir hostingo serveriai

Tą pačią savaitę CISA į tą patį katalogą įtraukė dar vieną aktyviai išnaudojamą spragą, šįkart taikinyje — bendro hostingo serveriai. CVE-2026-54420 (CVSS 8,5) glūdi „LiteSpeed“ cPanel papildinyje ir leidžia naudotojui, turinčiam FTP ar web shell prieigą, išsiplėsti teises iki root serveryje su „CloudLinux“ / „CageFS“ izoliacija. Tiesiog tariant — vienas pažeistas klientas dalintame serveryje gali bandyti perimti viso serverio kontrolę ir pasiekti kaimynų svetaines.

Klaidos esmė — netinkamas vartotojo sukurtų simbolinių nuorodų (symlink) tvarkymas. Spragą atsakingai atskleidė „Namecheap“ gegužės 31 d., pataisa išleista jau birželio 1 d. Pažeidžiamos versijos iki 2.4.8; tvarkinga versija — „LiteSpeed WHM Plugin“ v5.3.2.1 (su cPanel papildiniu v2.4.8) ar naujesnė. Federalinėms institucijoms terminas pataisyti — birželio 18 d.

Į tos savaitės sąrašą pateko ir „Cisco Catalyst SD-WAN Manager“ spraga (CVE-2026-20262, CVSS 6,5), leidžianti autentifikuotam užpuolikui rašyti failus serveryje. Bendra žinutė aiški: atakuojama visa svetainės „grandinė“ — nuo CMS papildinio iki hostingo valdymo sluoksnio.

Ką daryti dabar — praktiniai žingsniai

1. Patikrinkite JCE versiją. Joomla administravimo skydelyje atidarykite papildinių / komponentų sąrašą ir įsitikinkite, kad „JCE Editor“ yra 2.9.99.5 ar naujesnis. Jei mažesnis — atnaujinkite nedelsdami.
2. Atnaujinkite ir patį Joomla bei visus papildinius. Spragos dažniausiai slypi pasenusiuose komponentuose, ne pačiame branduolyje.
3. Pasidomėkite savo hostingu. Jei naudojate „LiteSpeed“ + cPanel bendrame serveryje, paklauskite tiekėjo, ar jau įdiegta v2.4.8 / WHM v5.3.2.1 pataisa. Rimti tiekėjai tai jau padarė automatiškai.
4. Patikrinkite, ar nesate jau užkrėsti. Ieškokite nežinomų administratorių ar redaktorių paskyrų, naujų PHP failų įkėlimų kataloguose, keistų peradresavimų. Įtarus pažeidimą — neskubėkite valyti, pirma pasidarykite kopiją analizei.
5. Įjunkite automatinius atnaujinimus ir stebėseną. Geriausia apsauga nuo tokių „vienos dienos“ spragų — kai puslapis atnaujinamas anksčiau, nei botai jį suranda.

Esmė paprasta: maksimalaus balo spraga populiariame papildinyje plius jau plintantis exploit kodas — tai kombinacija, dėl kurios atnaujinimą verta padaryti šiandien, ne kitą savaitę. Jei nesate tikri dėl savo svetainės būklės, geriau dešimt minučių patikrinti versijas nei vėliau aiškintis, kodėl puslapis peradresuoja lankytojus į svetimą turinį.