HTProtect.org
Uafhængig informationsside om sikkerhedssårbarheder i Joomla
DA
HTProtect HTProtect JOOMLA SECURITY
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
htprotect.org Sikkerhedssårbarheder & opdateringsguider
Nyt htprotect.app - Central administration af flere Joomla-hjemmesider
Sikkerhedssårbarhed

iCagenda – kritisk sikkerhedssårbarhed: upload uden login

KritiskCVE-2026-48939
Handl nu
Opdater iCagenda til 4.0.8 (på Joomla 3 til 3.9.15).
Hent den sikre version Gå til opdateringstrinnene

Sikker version: iCagenda 4.0.8 (Joomla 3: 3.9.15) · free download

Kort fortalt

Berørt udvidelse
iCagenda – eventkalender
Udvikler
iCagenda
Sårbarhedstype
Manglende loginkontrol i eventformularen (gæster kan oprette events); på Joomla 6 en kritisk filupload uden login
Berørte versioner
iCagenda 3.2.1 til 4.0.7
Sikker version
iCagenda 4.0.8 (Joomla 3: 3.9.15)   Hent
Alvorlighedsgrad
Kritisk
CVE
CVE-2026-48939
Joomla-kompatibilitet
Joomla 3 / 4 / 5 / 6
Status / offentliggjort
Offentliggjort: 15. juni 2026

Hvad handler det om?

iCagenda er en udbredt udvidelse til eventkalendere. Formularen til indsendelse af arrangementer manglede en reel loginkontrol – derfor kunne selv besøgende uden login oprette events, også når formularen kun var beregnet til registrerede brugere. På Joomla 6 (6.0.0–6.1.1) kan det udnyttes til en filupload – dér er sårbarheden kritisk; andre Joomla-versioner er ikke berørt af den del.

Berørt er iCagenda 3.2.1 til 4.0.7 (versioner før 3.2.1 er ikke berørt). Rettelsen udkom som iCagenda 4.0.8 den 15. juni 2026; til Joomla 3 findes desuden iCagenda 3.9.15 (16. juni 2026). Sårbarheden er registreret som CVE-2026-48939.

Uploadede filer havner typisk i images/icagenda/frontend/. En .htaccess-regel kan forhindre, at PHP bliver kørt i den mappe – en fornuftig hærdning, men den erstatter ikke opdateringen.

Tiden er en faktor
Så snart de tekniske detaljer bliver offentligt kendt, går der erfaringsmæssigt kun timer, før automatiske scannere begynder at lede efter den slags sårbarheder. Opdater derfor hurtigst muligt.

Er jeg berørt? – Sådan tjekker du det

  1. Åbn administrationen

    Log ind i Joomlas administration.

  2. Kontrollér iCagenda-versionen

    Åbn Udvidelser›Håndter›Håndter, og filtrer efter »iCagenda«.

  3. Vurder versionen

    Ligger versionen i intervallet 3.2.1 til 4.0.7, skal du handle – på Joomla 6 er sårbarheden kritisk.

Sådan lukker du sårbarheden

Før hver opdatering: tag en backup
Tag en backup af filer og database, før du opdaterer – så kan du rulle tilbage, hvis noget går galt (f.eks. med Akeeba Backup eller via dit webhotel).
  1. Åbn opdateringscenteret

    Gå til System›Opdater›Udvidelser, og klik på Søg efter opdateringer.

  2. Opdater iCagenda

    Markér iCagenda-posten, og klik på Opdater (målversion 4.0.8; på Joomla 3 3.9.15).

  3. Kontrollér versionen

    Kontrollér, at der nu er installeret 4.0.8 (eller 3.9.15 på Joomla 3) eller nyere.

Manuel installation (alternativ)
Du kan også hente pakken på icagenda.com og installere den via Udvidelser›Håndter›Installer. Vigtigt: Gendan ikke gamle backupfiler – installer version 4.0.8 rent (på Joomla 3: 3.9.15).
Hent den sikre version

Officiel kilde: free download. Sørg for at have mindst iCagenda 4.0.8 (Joomla 3: 3.9.15).

Er hjemmesiden allerede blevet hacket?

Allerede angrebne hjemmesider kræver mere end en opdatering
Gennemgå mappen images/icagenda/frontend/ for ukendte filer. Er hjemmesiden kompromitteret, kræver det en struktureret rensning – det er ikke nok bare at slette enkelte filer.

Har du brug for hjælp til oprydningen? Find kvalificerede specialister i Joomlas oversigt over tjenesteudbydere.

Kilder & mere information

Det er altid den enkelte udviklers officielle oplysninger, der gælder. Denne side sammenfatter offentligt tilgængelige informationer på en neutral måde.

Lignende sårbarheder

Andre udvidelser med tilsvarende svagheder. Tjek, om en af dem er installeret på din hjemmeside.

JCE EditorKritiskudnyttes aktivt
JoomlaContentEditorLæs mere
Helix3 FrameworkKritiskudnyttes aktivt
JoomShaperLæs mere
Astroid FrameworkKritiskudnyttes aktivt
TemPlazaLæs mere
Tilbage til alle sikkerhedssårbarheder
Støtter

Støtter af denne side

htprotect.org er en gratis informationsside, der er uafhængig af udviklerne. Siden støttes af:

Hostingudbyder & community
FC-Hosting

Joomla-hostingudbyder fra Tyskland med aktiv community-support – opdagede det første angreb på JCE-sikkerhedssårbarheden.

fc-hosting.de
Initiativtager & drift
Website-Bereinigung.de

Specialiseret i oprydning, vedligeholdelse og sikring af Joomla- og WordPress-hjemmesider.

website-bereinigung.de

Støt dette projekt

Driver du en hosting- eller Joomla-tjeneste og vil gerne bakke op om htprotect.org – og stå opført her som støtte? Ethvert bidrag er med til at advare og beskytte de berørte hurtigere.

Vil du hellere give privat og uden at blive nævnt? Et lille bidrag til kaffekassen er lige så velkomment.

Støt HTProtect nu
Bauschild & Service

Fremstilling og montering af byggeskilte, byggehegn og facadeløsninger – inkl. design og 3D-visualisering.

bauschildundservice.de
IT Specialista

Professionel it-support fra Tjekkiet – Windows-administration, domæneadministration og webhosting.

defendersoft.cz
onlineweg.de

Rejseportal fra Tyskland – pakkerejser, hoteller og flybilletter online, med personlig rådgivning fra et rejsebureau.

onlineweg.de
Criadero

Kreativt bureau fra Brandenburg – webdesign, tryksager, fotografi og 360°-panoramaer fra én leverandør.

criadero.de
Jahn EDV-Dienst GmbH

It-leverandør fra Wächtersbach – Joomla-hjemmesider, pc-service, hardware og software.

jahnedv.de
IsariConsult

Rådgivning om informationssikkerhed fra Berlin – sikkerhedsanalyser, risikostyring og ISO 27001 til SMV'er.

isari-consult.de