Aktivno eksploatisan Joomla JCE propust je ušao u CISA KEV: šta web administratori treba odmah da urade

Kada CISA doda CMS ranjivost u Known Exploited Vulnerabilities katalog, to više nije običan backlog zadatak. Joomla JCE problem označen kao CVE-2026-48907 ima CVSS 10.0, potvrđenu aktivnu eksploataciju i direktan put ka izvršavanju PHP koda. Za timove koji drže javne sajtove, partnerske portale ili interne content sisteme na Joomla platformi, ovo je operativni problem sada, a ne patch za sledeću nedelju.

Prema objavljenim detaljima, propust pogađa Widget Factory Joomla Content Editor i omogućava neautentifikovanim korisnicima da kreiraju nove editor profile i uploaduju izvršni PHP kod. Pogođene su verzije od 1.0.0 do 2.9.99.4, a ispravka je objavljena u verziji 2.9.99.5. CISA je već postavila rok 19. jun za sanaciju u američkim federalnim civilnim agencijama, što je jasan signal i za privatna okruženja da rizik treba tretirati kao hitan.

Zašto ovo traži hitnu pažnju

Joomla sajtovi često stoje direktno na internetu i organizaciono pripadaju marketingu, poslovnim timovima ili spoljnim integratorima. To je nezgodna kombinacija: napadna površina je otvorena, vlasništvo je rascepkano, a higijena pluginova nije uvek dosledna. Ako napadač može da pretvori editor ekstenziju u put za code execution, više ne pričamo samo o izmeni sadržaja stranica. Tu već postoji prostor za trajni backdoor, dalji prodor u hosting sloj ili zloupotrebu sajta za phishing i SEO manipulaciju.

• Propust se već aktivno eksploatiše, pa svako odlaganje odmah povećava rizik.
• Pogođena komponenta je široko korišćena editor ekstenzija, a ne neka egzotična interna alatka.
• Neautentifikovano kreiranje profila i PHP upload mogu da prerastu u potpunu kompromitaciju servera.
• Javni CMS sistemi često imaju slabiji monitoring nego core infrastrukturni sistemi.

Neposredni response prioriteti

Dobar odgovor ovde treba da bude jednostavan i disciplinovan: identifikuj sve pogođene instance, brzo ih patchuj ili izoluj, pa zatim proveri da li je ranjivost iskorišćena pre remedijacije. Posmatraj ovo kao kombinovanu vežbu iz vulnerability management-a, web operacije i incident response-a.

1) Pronađi svaku Joomla instancu koja koristi JCE

Kreni od realnog asset stanja, ne od pretpostavki. Inventariši internet-facing i interno dostupne Joomla sisteme, potvrdi da li je JCE instaliran i zabeleži tačne verzije. Uključi staging sisteme, zaboravljene microsite-ove, regionalne stranice i starija tenant okruženja, jer patch kašnjenje najduže živi upravo tamo.

2) Patchuj pogođene verzije ili ih odmah izoluj

Ako JCE upada u pogođeni version range, pređi na 2.9.99.5 čim change proces to dozvoli. Ako patch ne može odmah, smanji izloženost: ograniči mrežni pristup, stavi sistem iza strožih kontrola ili privremeno ugasi rizičnu funkcionalnost. Najgora varijanta je da sačekaš redovan maintenance window dok napadni put ostaje otvoren.

3) Traži tragove code upload-a i neautorizovanih izmena profila

Patch zatvara buduću eksploataciju, ali ne govori da li je kompromitacija već nastala. Pregledaj skorije admin i aplikacione logove, novokreirane editor profile, neočekivane PHP fajlove, sumnjive timestampe u upload direktorijumima i neobične outbound konekcije sa hosta. Ako imaš file integrity monitoring ili istoriju web server zahteva, sada je pravi trenutak da to iskoristiš.

4) Preispitaj administratorski pristup i higijenu ekstenzija

Ovaj incident je dobar povod da se zategne šira CMS higijena. Ponovo potvrdi ko ima administratorski pristup, ugasi stare naloge, proveri MFA pokrivenost i ukloni ekstenzije koje više nisu potrebne. Okruženja sa slabom disciplinom oko pluginova obično skupljaju više tihih rizika, a aktivna eksploatacija je trenutak kada taj tehnički dug izlazi na površinu.

Praktična 24-časovna checklista

• Napravi listu svih Joomla sajtova i potvrdi da li koriste JCE.
• Identifikuj verzije i patchuj sve pogođene JCE instance na 2.9.99.5.
• Ograniči ili izoluj izložene sisteme koji ne mogu odmah da se patchuju.
• Proveri sumnjive editor profile, uploadovane PHP fajlove i neobičnu admin aktivnost.
• Rotiraj ili ponovo validiraj administratorske kredencijale i potvrdi MFA gde god je moguće.
• Sačuvaj logove i filesystem tragove pre agresivnog čišćenja ako sumnjaš na kompromitaciju.

Zaključak

Praktična poruka nije samo da JCE traži patch. Javni CMS sistemi zaslužuju istu disciplinu odgovora kao i vidljiviji infrastrukturni softver čim počne aktivna eksploatacija. Ako tvoj tim bilo gde koristi Joomla-u, proveri izloženost, patchuj brzo i računaj da će možda biti potreban i ozbiljan incident response pregled, a ne samo verzioni update.